#argument injection

深度解析

Pillow 2.6.0 至 12.3.0 将攻击者可控的 EPS 或 PostScript 文件名未经净化传给 Ghostscript，导致参数注入和命令执行；13.0.0 已修复。