به گزارش The Hacker News، یک آسیب‌پذیری بحرانی با شناسه CVE-2026-112900 در کتابخانه تصویربرداری Pillow در پایتون کشف شد که پردازش فایل‌های EPS را تحت تأثیر قرار می‌دهد.
کتابخانه Pillow به عنوان پرکاربردترین ابزار پردازش تصویر در پایتون شناخته می‌شود و نقص جدید کشف‌شده در آن به مهاجمان اجازه می‌دهد از طریق ارسال تصاویر دستکاری‌شده، دستورات سیستم‌عامل را روی سرور اجرا کنند. این مشکل امنیتی ناشی از نحوه مدیریت فایل‌های EPS توسط کتابخانه است که بدون بررسی و اعتبارسنجی اولیه نام فایل، آن را مستقیماً به برنامه جانبی Ghostscript ارسال می‌کند.
برنامه Ghostscript برای تبدیل تصاویر EPS به پیکسل توسط Pillow اجرا می‌شود و عدم کنترل ورودی در این میانجی‌گری، بستر لازم برای سوءاستفاده مهاجمان را فراهم می‌سازد. توسعه‌گرانی که از این کتابخانه در برنامه‌های پایتون خود استفاده می‌کنند باید منتظر ارائه پتچ‌های اصلاحی بمانند و بررسی دقیق ورودی فایل‌ها را در دستور کار قرار دهند.
نکات کلیدی این خبر
- کشف آسیب‌پذیری بحرانی با شناسه CVE-2026-112900 در کتابخانه Pillow پایتون
- امکان اجرای دستورات سیستم‌عامل روی سرور از طریق تصاویر دستکاری‌شده EPS
- نقص امنیتی ناشی از ارسال نام فایل به Ghostscript بدون اعتبارسنجی اولیه
این خبر برای شما چه معنایی دارد؟
توسعه‌دهندگان پایتون و مدیران سرورهایی که برنامه‌های کاربردی وب با پردازش تصویر اجرا می‌کنند، باید وابستگی‌های پروژه‌های خود را بررسی کرده و کتابخانه Pillow را به محض انتشار نسخه اصلاح‌شده آپدیت کنند.
منبع خبر
The Hacker News
— Critical Flaw in Python’s Popular Pillow Image Library Allows Code Execution via a Crafted Image
انتشار در منبع:
این خبر را تحریریه‌ی مهران هاست بر پایه‌ی گزارش منبع بالا به فارسی نوشته است؛ جزئیات کامل و به‌روزرسانی‌های بعدی را در منبع اصلی ببینید.
