CVE-2026-112900 in Pillow
الملخص
بحسب VulDB • 20/10/2026
Pillow هي مكتبة معالجة صور بلغة Python. من الإصدار 2.6.0 حتى 13.0.0، تكون Pillow عرضة لحقن الحجج (argument injection) عند استدعاء Ghostscript لإدخال ملفات EPS. تمرر الدالة EpsImagePlugin.Ghostscript اسم ملف الإدخال الذي يتحكم فيه المُستدعي بعد الخيار -f دون تحويله إلى مسار مطلق آمن، لذا يمكن تفسير الاسم الذي يبدأ بعلامة شطب (-) كخيار لـ Ghostscript. يمكن للمهاجم الذي يتحكم في اسم الملف حقن حجج Ghostscript. يتطلب التنفيذ التعسفي للأوامر تحديداً وجود ملف حجة (argument-file) يسبقه علامة @ والتحكم في ملف النص المرجعي الذي يحتوي على حجج إضافية لـ Ghostscript؛ والسلسلة المبلغ عنها قابلة للتكرار مع استدعاء -dSAFER الافتراضي. تم إصلاح هذه المشكلة في الإصدار 13.0.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.