CVE-2026-112900
Açıklama
Pillow bir Python görüntüleme kütüphanesidir. 2.6.0 ile 13.0.0 sürümleri arasında Pillow, EPS girdisi için Ghostscript çağrılırken argüman enjeksiyonuna karşı savunmasızdır. EpsImagePlugin.Ghostscript, kullanıcı kontrollü bir girdi dosya adını güvenli bir mutlak yola dönüştürmeden -f parametresinden sonra iletir, bu nedenle tire ile başlayan bir ad Ghostscript seçeneği olarak yorumlanabilir. Dosya adını kontrol eden bir saldırgan, Ghostscript argümanları enjekte edebilir. Keyfi komut çalıştırma, özellikle başında @ olan bir argüman dosyası adı ve ek Ghostscript argümanlarını içeren referans verilen metin dosyasının kontrolünü gerektirir; bildirilen zincir varsayılan -dSAFER çağrısı ile yeniden üretilmektedir. Bu sorun 13.0.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- python pillow13.0.0 ya da sonraki bir sürüm
- pillow13.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| python pillow | 2.6.0 ≤ v < 13.0.0 | 13.0.0 |
| pillowPyPI | 2.6.0 ≤ v < 13.0.0 | 13.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.