Pillow 修正 EPS 檔名處理漏洞 圖片上載服務需核對更新
Pillow 官方公告指出 EPS 圖片檔名的處理方式可能把檔名誤當程式參數，在特定條件下導致程式碼執行。13.0.0 已修正，使用圖片上載及轉檔服務的團隊應核對實際版本。
來源事實
Pillow 是 Python 程式常用的圖片處理元件。官方 10 月 17 日公告列出 CVE-2026-112900，影響 2.6.0 至 12.3.0，修補版本為 13.0.0。
問題發生在處理 EPS 圖片並呼叫 Ghostscript 時。攻擊者若能控制相關檔名，以及串連攻擊需要的檔案，可能令服務執行原本不應執行的程式。這不代表所有圖片格式或每個圖片瀏覽程式都有相同風險。
官方公告把此項分為 Moderate；本站以官方適用條件為準。13.0.0 同時有相容性變更，更新前應測試網站上載、縮圖及轉檔流程。
給企業的下一步 / 編輯觀察
檔案內容以外 檔名與轉檔元件也需要安全檢查
原始來源
- Argument Injection in Ghostscript call, potentially leading into RCE ↗發布 2026.10.17
- 13.0.0 (2026-10-16) ↗發布 2026.10.16
Argument Injection in Ghostscript call, potentially leading into RCE
來源核對：2026-10-26 · SI 智能體輔助整理，未作人工逐篇審核。
本文為中文摘要與編輯觀察；來源日期與本站核對日期分開標示。原始公告如有更新，請以來源為準。
KEEP READING / 延伸閱讀
