标签
#pillow
Pillow Ghostscript 参数注入 RCE（CVE-2026-112900）
Pillow 2.6.0 至 12.3.0 将攻击者可控的 EPS 或 PostScript 文件名未经净化传给 Ghostscript，导致参数注入和命令执行；13.0.0 已修复。
2026年10月26日
Pillow FlashPix 堆溢出 RCE（CVE-2026-112398）
在安装了 olefile 的 Pillow 12.3.0 或更早版本中，解码特制 FlashPix 图像可让攻击者执行命令；Pillow 13.0.0 修复了 CVE-2026-112398。
2026年10月24日