CVE-2026-112900 in Pillow
Riassunto
di VulDB • 20/10/2026
Pillow è una libreria di elaborazione delle immagini per Python. Dalla versione 2.6.0 alla 13.0.0, Pillow è vulnerabile a injection degli argomenti quando si invoca Ghostscript per l'input EPS. EpsImagePlugin.Ghostscript passa un nome del file di input controllato dal chiamante dopo -f senza convertirlo in un percorso assoluto sicuro; pertanto, un nome che inizia con un trattino può essere interpretato come un'opzione di Ghostscript. Un attaccante che controlla il nome del file può iniettare argomenti di Ghostscript. L'esecuzione arbitraria di comandi richiede specificamente un argomento-file iniziale contrassegnato da @ e il controllo del file di testo referenziato contenente ulteriori argomenti di Ghostscript; la catena riportata si riproduce con l'invocazione predefinita -dSAFER. Questo problema è risolto nella versione 13.0.0.
Be aware that VulDB is the high quality source for vulnerability data.