Pillow 13.0.0 łata CVE-2026-112900: polecenia systemowe przez nazwę pliku EPS

Pillow, najpopularniejsza biblioteka graficzna dla Pythona, może uruchomić polecenia systemowe na serwerze przez samą nazwę otwieranego pliku EPS. Luka CVE-2026-112900 jest załatana w wersji 13.0.0, wydanej 16 października.

Pillow przekazuje nazwę pliku EPS do programu Ghostscript i wcześniej jej nie sprawdza. Ghostscript może potraktować nazwę ustawioną przez atakującego jako instrukcje i sięgnąć po drugi plik z poleceniami do uruchomienia. O ataku decyduje nazwa pliku, a nie zawartość obrazu. Opiekunowie biblioteki oceniają lukę jako umiarkowaną, bo atakujący musi kontrolować nazwę pliku. Rekord CVE nadany przez GitHub daje jej 9,2 na 10. Nic nie wskazuje na to, by luka była już wykorzystywana w atakach.

Kogo dotyczy

Luka dotyczy Pillow w wersjach od 2.6.0 do 12.3.0 na serwerach z zainstalowanym programem gs. Najbardziej narażone są formularze przesyłania plików, które zapisują albo składają nazwę pliku z danych podanych przez użytkownika.

Co zrobić

Zaktualizuj Pillow do wersji 13.0.0. To duże wydanie bezpieczeństwa: zawiera poprawki z czterech poziomów ważności, w tym dwie ocenione przez opiekunów jako krytyczne.