Найти вызов eval() в репозитории Python легко. Понять, откуда берется его аргумент, требует больше усилий.Та же проблема возникает и с командами оболочки. Сканер может указать на subprocess.run(), но рецензенту все равно придется отслеживать команду через присваивания, форматирование строк и ветвления. Затем возникает более сложный вопрос: может ли кто-то за пределами предполагаемой границы доверия контролировать этот ввод?