Më 23 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-5x8w-8jj5-q52h (CVE-2026-112398) për një dobësi me rrezikshmëri kritike (CVSS 9.2) në paketën pillow të ekosistemit PyPI.
Paketat e prekura
- pillow (PyPI) — versionet e prekura:
<= 12.3.0; versioni me rregullim:13.0.0
Detaje
- Rrezikshmëria: Kritike (CVSS 9.2)
- CWE: CWE-122 (Heap-based Buffer Overflow), CWE-787 (Out-of-bounds Write)
- Identifikuesit: GHSA-5x8w-8jj5-q52h, CVE-2026-112398
Përmbledhja zyrtare
Pillow: Tejmbushja e buferit në heap gjatë dekodimit JPEG në FlashPix (FPX) mundëson ekzekutimin e kodit
Një dobësi në dekoduesin e segmenteve JPEG të formatit FlashPix (FPX) në Pillow i lejon një sulmuesi të ekzekutojë kod arbitrar. Shfrytëzimi mbështetet te një tejmbushje e buferit në heap dhe kërkon që një aplikacion të hapë me Image.open() një skedar të vetëm, të përgatitur posaçërisht.
Skedari identifikohet nga përmbajtja, përmes nënshkrimit OLE2, dhe jo nga prapashtesa e emrit. Kjo e bën të arritshme rrugën e cenueshme të përpunimit edhe kur prapashtesa nuk tregon se skedari është i formatit FPX.
Sipas përshkrimit, mund të preket çdo shërbim që hap skedarë të ngarkuar nga burime të pabesueshme ose krijon miniatura prej tyre, nëse ka të instaluar varësinë opsionale olefile. Në këto shërbime, shfrytëzimi nuk kërkon ndërveprim nga përdoruesi: përpunimi i skedarit të përgatitur mund të mjaftojë për ekzekutimin e kodit.
Zbulimi i atribuohet studiuesit Alex Bouffard ([email protected]). Përshkrimi i demonstrimit të shfrytëzimit (PoC) tregon se sulmi nis me hapjen e një skedari të vetëm.
Çfarë duhet të bëni
Nëse projektet tuaja përdorin pillow, përditësojeni sa më shpejt në versionin 13.0.0 ose më të ri.
