Vulnerabilidad en fickling de trailofbits (CVE-2026-14535)

En las versiones de fickling de Trail of Bits hasta la 0.1.11 inclusive, la pasada de análisis UnsafeImportsML llama incondicionalmente a AnalysisContext.shorten_code(node) en cada nodo de importación que inspecciona, independientemente de si la importación está marcada como insegura. Esta llamada registra la representación de código acortada en el conjunto compartido AnalysisContext.reported_shortened_code. Cuando la pasada de análisis MLAllowlist se ejecuta posteriormente, llama al mismo método shorten_code(), recibe already_reported=True para cada importación y ejecuta una sentencia continue que omite completamente su verificación de lista de permitidos. Esto convierte a MLAllowlist en código muerto para todas las importaciones - nunca evalúa si una importación está en la lista de permitidos de ML o no. La pasada MLAllowlist fue diseñada para detectar importaciones de módulos fuera del ecosistema de ML conocido como seguro (torch, numpy, transformers, etc.) que escapan a la lista de denegados de UnsafeImports. Con MLAllowlist inoperativa, cualquier módulo de la biblioteca estándar que no esté en la lista de denegados UNSAFE_IMPORTS puede ser invocado a través de la deserialización de pickle mientras que check_safety() de fickling devuelve LIKELY_SAFE. La API fickling.load() encadena check_safety() en pickle.loads() como una puerta de seguridad explícita, lo que significa que un veredicto LIKELY_SAFE hace que la carga útil sea deserializada y ejecutada. La causa raíz es el estado mutable compartido entre pasadas de análisis independientemente correctas - UnsafeImportsML funciona según lo diseñado de forma aislada, MLAllowlist funciona según lo diseñado de forma aislada, pero el conjunto compartido reported_shortened_code hace que UnsafeImportsML envenene la lógica de deduplicación de MLAllowlist.