CVE-2026-112900 in Pillow
要約
〜によって VulDB • 2026年10月20日
PillowはPythonの画像処理ライブラリです。2.6.0から13.0.0までのバージョンでは、EPS入力を扱う際にGhostscriptを呼び出す際に関数インジェクション（argument injection）の脆弱性が存在します。EpsImagePlugin.Ghostscriptは、安全な絶対パスに変換せずに、呼び出し元が制御可能な入力ファイル名を-fフラグの後に渡すため、ハイフンで始まるファイル名はGhostscriptのオプションとして解釈される可能性があります。攻撃者がファイル名を操作することで、Ghostscript引数をインジェクションできます。任意のコマンド実行には、先頭に@が付いた引数ファイル（argument-file）のファイル名と、追加のGhostscript引数が含まれる参照テキストファイルへの制御が必要です；報告されたチェーンはデフォルトの-dSAFER呼び出しでも再現します。この問題はバージョン13.0.0で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.