Библиотека Pillow, являющаяся наиболее распространенной для работы с изображениями в Python, содержит уязвимость, позволяющую выполнять команды операционной системы на сервере. Проблема, обозначенная как CVE-2026-112900, связана с тем, как Pillow обрабатывает изображения в формате EPS. Библиотека передает имя файла в программу Ghostscript, используемую для преобразования изображения в пиксели, не проверяя его заранее.

Данная уязвимость может быть использована злоумышленниками, которые могут создать специально подготовленное изображение, способное вызвать выполнение произвольного кода на сервере. Это создает серьезные риски для безопасности, особенно для приложений, обрабатывающих изображения, загружаемые пользователями.

Проблема заключается в недостаточной валидации входных данных, что позволяет злоумышленникам манипулировать именами файлов и запускать нежелательные команды. Разработчики Pillow рекомендуют обновить библиотеку до последней версии, в которой эта уязвимость исправлена.

Поскольку Pillow широко используется в различных проектах, включая веб-приложения и службы обработки изображений, важно, чтобы разработчики были осведомлены о данной уязвимости и предприняли необходимые меры для защиты своих систем.

Команда разработчиков также призывает пользователей следить за обновлениями и внимательно относиться к загружаемым изображениям, особенно если они поступают из ненадежных источников. Уязвимость подчеркивает важность постоянного мониторинга и обновления библиотек, используемых в проектах, чтобы избежать потенциальных угроз безопасности.

Источник новости:
The Hacker News

Читать полностью