Biblioteca Pillow, cea mai utilizată pentru procesarea imaginilor în Python, conține o vulnerabilitate critică care permite executarea de comenzi la nivel de sistem, potrivit The Hacker News. Defectul CVE-2026-112900 afectează modul în care Pillow deschide imaginile EPS, transmițând numele fișierului programului Ghostscript fără validare prealabilă.
Atacatorii pot exploata această slăbiciune prin manipularea numelui fișierului, direcționând Ghostscript să execute comenzi arbitrare. Biblioteca este descărcată lunar de aproximativ 436 de milioane de ori și se regăsește în aplicații web, instrumente de avatar, procesare PDF și proiecte de machine learning. Dezvoltatorii au lansat versiunea 13.0.0 pe 16 octombrie cu corecții pentru mai multe vulnerabilități.
Versiunea noua adresează și alte două defecte critice: un bug de memorie stale și doi exploiți de depășire buffer în decodarea JPEG. Specialiștii recomandă actualizarea urgentă la versiunea 13.0.0, deși nici una dintre vulnerabilități nu a fost exploatată public până acum.
Sursa: The Hacker News.
Verifică gratuit expunerea ta cibernetică pe CYBER3.AI, platforma românească de securitate cibernetică.
