Më 21 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-w889-685w-c8fh (CVE-2026-112900) për një dobësi me rrezikshmëri kritike (CVSS 9.2) në paketën Pillow të ekosistemit PyPI.
Paketat e prekura
- Pillow (PyPI) — versionet e prekura:
>= 2.6.0, < 13.0.0; versioni me rregullim:13.0.0
Detaje
- Rrezikshmëria: Kritike (CVSS 9.2)
- CWE: CWE-78 (Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')), CWE-88 (Improper Neutralization of Argument Delimiters in a Command ('Argument Injection'))
- Identifikuesit: GHSA-w889-685w-c8fh, CVE-2026-112900
Përmbledhja zyrtare (në anglisht)
Pillow: Argument Injection in Ghostscript call, potentially leading into RCE — Summary PIL.EpsImagePlugin.Ghostscript() builds the Ghostscript command line using the input file path ( fp.name ) without sanitization , placing it at -f <infile . A filename beginning with – is interpreted by Ghostscript as an option, giving command-line argument injection; chainable to RCE (see Impact). Reproduces with Pillow's default invocation (with -dSAFER enabled). Details _Give all details on the vulnerability. Pointing to the incriminated source code is very helpful for the maintainer._ Type CWE-88 (Argument Injection) (→ CWE-78 (OS Command…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin Pillow, përditësojeni sa më shpejt në versionin 13.0.0 ose më të ri.
