Pillow, biblioteka më e përdorur për imazhe në Python, ka korrigjuar disa dobësi sigurie në versionin 13.0.0, publikuar më 16 tetor. Ajo përdoret në ngarkime skedarësh, avatarë, miniatura dhe përpunim dokumentesh. Sipas OX Security, shkarkohet rreth 436 milionë herë në muaj. Nuk dihet që dobësitë të jenë shfrytëzuar në sulme.
CVE-2026-112900 prek versionet 2.6.0–12.3.0 dhe mundëson ekzekutimin e komandave përmes emrit të një skedari EPS, jo përmbajtjes së tij. Pillow ia kalon emrin pa kontroll Ghostscript-it. Sulmi kërkon që programi gs të jetë i instaluar dhe sulmuesi të kontrollojë emrin. Mirëmbajtësit e vlerësojnë dobësinë të moderuar; regjistri CVE i jep 9.2/10.
Një dobësi në formatin FPX lejon ekzekutimin e komandave me një thirrje Image.open() mbi një skedar të manipuluar, nëse është instaluar paketa opsionale olefile. CVE-2026-112403 shkakton tejmbushje buferi gjatë krijimit të miniaturave nga JPEG pa humbje; është raportuar ndërprerje e procesit, jo ekzekutim kodi.
CVE-2026-112393 prek ruajtjen në memorie të imazheve TIFF të kompresuara. Ekzekutimi i kodit u demonstrua vetëm duke e kombinuar me një dobësi tjetër që zbulonte adresa memorieje. Rekomandohet përditësimi në Pillow 13.0.0 dhe rindërtimi i paketave e kontejnerëve me kopje të vjetra. Versioni i ri kërkon Python 3.11 ose më të ri.
Burimi: The Hacker News — lexoni artikullin e plotë në anglisht.
