CVE-2026-112900
CRITICAL(9.8)CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- CVSS 9.8 — Kritisch
Erwähnungen (letzte 60 Tage)
EPSS-Score
1.3%
Exploit-Wahrscheinlichkeit (30 Tage)
CVSS Score
9.8
Technische Schwere
SecBoard-Einordnung
CVE-2026-112900 betrifft die Python-Bibliothek Pillow (Versionen 2.6.0 bis einschließlich 12.9.0). Die Schwachstelle ermöglicht Argument-Injection bei der Verarbeitung von EPS-Dateien mittels Ghostscript. Ein Angreifer kann durch Manipulation des Dateinamens Ghostscript-Argumente einschleusen, was potenziell zur Ausführung beliebiger Befehle führen kann. Die Schwachstelle liegt in der unsicheren Übergabe von Dateinamen an Ghostscript. Die Schwachstelle wird mit einem CVSS-Score von 9.8 (CRITICAL) bewertet, was auf ein sehr hohes Risiko hinweist. Die Exploit-Wahrscheinlichkeit (EPSS) liegt derzeit bei 1%, was auf eine geringe, aber vorhandene Wahrscheinlichkeit einer Ausnutzung hindeutet. Sie ist derzeit nicht im CISA KEV-Katalog gelistet, was bedeutet, dass keine aktive Ausnutzung in der Wildnis bestätigt wurde. Security-Teams sollten umgehend alle betroffenen Pillow-Installationen auf Version 13.0.0 oder höher aktualisieren, um diese kritische Schwachstelle zu beheben. Bis zur vollständigen Patch-Implementierung ist eine Überwachung von Systemen, die EPS-Dateien mit Pillow verarbeiten, ratsam, um ungewöhnliche Aktivitäten zu erkennen.
KI-gestützte Einordnung auf Basis der NVD-Daten.
Beschreibung
Pillow is a Python imaging library. From 2.6.0 until 13.0.0, Pillow is vulnerable to argument injection when invoking Ghostscript for EPS input. EpsImagePlugin.Ghostscript passes a caller-controlled input filename after -f without converting it to a safe absolute path, so a name beginning with a hyphen can be interpreted as a Ghostscript option. An attacker who controls the filename can inject Ghostscript arguments. Arbitrary command execution specifically requires a leading @ argument-file filename and control of the referenced text file containing additional Ghostscript arguments; the reported chain reproduces with the default -dSAFER invocation. This issue is fixed in version 13.0.0.
Betroffene Produkte
- cpe:2.3:a:python:pillow:*:*:*:*:*:*:*:*
GitHub Advisories
Pillow: Argument Injection in Ghostscript call, potentially leading into RCE