CVE-2026-33140PySpector是一个面向现代Python开发工作流的静态分析安全测试（SAST）框架。在0.1.6及更早版本中，其HTML报告生成器存在一个存储型跨站脚本（XSS）漏洞。当PySpector扫描包含JavaScript载荷的Python文件（例如传递给eval()函数的字符串内的代码）时，被标记的代码片段在未经消毒的情况下被直接插入到HTML报告中。一旦用户在浏览器中打开生成的报告，嵌入的JavaScript代码将在浏览器的本地文件上下文中执行。该问题已在0.1.7版本中修复。
该漏洞源于PySpector在生成HTML扫描报告时，未能对扫描到的代码片段进行充分的输出编码。当工具扫描包含特定模式的恶意Python文件（如使用eval()函数处理包含HTML/JavaScript标签的字符串）时，它会将这些字符串标记为潜在的安全风险并将其包含在生成的HTML报告中。由于系统未对插入HTML文档的动态内容进行实体编码或清理，攻击者注入的JavaScript代码被浏览器解析为可执行脚本。当开发人员或安全审计人员在浏览器中打开此本地HTML报告时，脚本将在本地文件域（file://）上下文中执行，可能导致本地文件窃取或其他客户端攻击。