Pillow 13.0.0 修复可经恶意 EPS 文件名执行命令等多项安全缺陷
Critical Flaw in Python’s Popular Pillow Image Library Allows Code Execution via a Crafted Image
AI 导读
Python 图像库 Pillow 13.0.0 修复了 CVE-2026-112900 等多项安全问题，其中 EPS 文件名可被 Ghostscript 解释为指令并触发操作系统命令，影响使用 2.6.0 至 12.3.0 的版本。JPEG 缩略图、内存 TIFF 等路径也存在特定漏洞；Pillow 13.0.0 修复这些问题，但不再支持 Python 3.10。
推荐理由
文章梳理 Pillow 13.0.0 修复的多项高危缺陷及触发前提，并给出升级、容器重建和临时缓解措施，适合负责图像处理与上传服务的小团队评估依赖风险。
来源：The Hacker News · thehackernews.com