CVE-2026-112900 in Pillow
Sumário
de VulDB • 20/10/2026
Pillow é uma biblioteca de processamento de imagens em Python. Da versão 2.6.0 até a 13.0.0, o Pillow está vulnerável a argument injection ao invocar o Ghostscript para entrada EPS. O módulo EpsImagePlugin.Ghostscript passa um nome de arquivo de entrada controlado pelo chamador após -f sem convertê-lo em um caminho absoluto seguro, portanto, um nome que começa com hífen pode ser interpretado como uma opção do Ghostscript. Um atacante que controle o nome do arquivo pode injetar argumentos no Ghostscript. A execução arbitrária de comandos requer especificamente um argumento @ seguido por um nome de arquivo contendo a lista de argumentos e controle sobre o arquivo de texto referenciado, que contém os argumentos adicionais do Ghostscript; a cadeia relatada é reproduzível com a invocação padrão -dSAFER. Este problema foi corrigido na versão 13.0.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.