Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADEXPLOIT PÚBLICODetectada 19 OCT · 20:56

CVE-2026-112900 Inyección de argumentos en la llamada a Ghostscript de Pillow con posible ejecución remota de código

Desde 2.6.0 hasta 13.0.0, EpsImagePlugin.Ghostscript pasa el nombre de archivo controlado por el llamador tras -f sin convertirlo en ruta absoluta segura, por lo que un nombre que empiece con guion puede interpretarse como opción de Ghostscript. La ejecución arbitraria de comandos requiere un nombre de archivo de argumentos con @ y control del archivo referenciado. Corregido en 13.0.0.

9.2CRÍTICA

CVSS 4.0

  • Probabilidad de explotación0,4 %
  • Explotada activamenteNo confirmada
  • Exploit públicoSí, 1

Afectados

  • python-pillow Pillow

    >= 2.6.0, < 13.0.0

Qué hacer

  1. Verificá si usás Pillow y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Priorizá la corrección: hay código de explotación público.
  4. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Exploits públicos

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

Calculadora CVSS

CVSS 4.0 · 9.2 CRÍTICA

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Requisitos del ataquePresentes
  • Privilegios requeridosNinguno
  • Interacción del usuarioNinguna
  • Confidencialidad (sistema vulnerable)Alta
  • Integridad (sistema vulnerable)Alta
  • Disponibilidad (sistema vulnerable)Alta
  • Confidencialidad (sistemas posteriores)Ninguna
  • Integridad (sistemas posteriores)Ninguna
  • Disponibilidad (sistemas posteriores)Ninguna

Descripción original

Pillow is a Python imaging library. From 2.6.0 until 13.0.0, Pillow is vulnerable to argument injection when invoking Ghostscript for EPS input. EpsImagePlugin.Ghostscript passes a caller-controlled input filename after -f without converting it to a safe absolute path, so a name beginning with a hyphen can be interpreted as a Ghostscript option. An attacker who controls the filename can inject Ghostscript arguments. Arbitrary command execution specifically requires a leading @ argument-file filename and control of the referenced text file containing additional Ghostscript arguments; the reported chain reproduces with the default -dSAFER invocation. This issue is fixed in version 13.0.0.

Referencias (3)
Historial (2)
  1. VULNERABILIDADNueva vulnerabilidad detectada.
  2. EXPLOIT PÚBLICOSe publicó techupdate24/python-pillow-rce-cve-2026-112900.

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.