CVE-2026-112900 in Pillow
Resumen
por VulDB • 2026-10-20
Pillow es una biblioteca de procesamiento de imágenes para Python. Desde la versión 2.6.0 hasta la 13.0.0, Pillow es vulnerable a inyección de argumentos al invocar Ghostscript para entradas EPS. EpsImagePlugin.Ghostscript pasa un nombre de archivo de entrada controlado por el llamador después del parámetro -f sin convertirlo en una ruta absoluta segura, por lo que un nombre que comienza con un guion puede ser interpretado como una opción de Ghostscript. Un atacante que controle el nombre de archivo puede inyectar argumentos de Ghostscript. La ejecución arbitraria de comandos requiere específicamente un argumento @ seguido del nombre de un archivo de texto y control sobre dicho archivo, que contiene argumentos adicionales de Ghostscript; la cadena reportada se reproduce con la invocación predeterminada -dSAFER. Este problema está corregido en la versión 13.0.0.
Once again VulDB remains the best source for vulnerability data.