Python'un popüler görsel kütüphanesi Pillow'da kritik açık: hazırlanmış görselle kod çalıştırma mümkün
Orijinal başlık: Critical Flaw in Python’s Popular Pillow Image Library Allows Code Execution via a Crafted Image
Kısaca
Pillow, EPS formatındaki görselleri piksellere dönüştürmek için kullandığı Ghostscript programına dosya adını hiçbir kontrol yapmadan aktarıyor. Bu sayede özel hazırlanmış bir dosya adı, sunucuda işletim sistemi komutlarının çalıştırılmasına yol açabiliyor.
Ne oldu?
- Açık, CVE-2026-112900 kod numarasıyla takip ediliyor ve Pillow'un EPS görsellerini işlerken dosya adını doğrulamamasından kaynaklanıyor.
- Saldırgan, açılacak dosyanın adına komut yerleştirerek Pillow'un çalıştığı sunucuda işletim sistemi komutları çalıştırabiliyor.
Neden önemli?
Pillow'u sunucularında görsel işleme için kullanan e-ticaret siteleri ve yazılım ekipleri, uzaktan kod çalıştırma riski nedeniyle güvenlik yamasını acilen uygulamalı.