Pillow 修正 EPS 档名处理漏洞 图片上载服务需核对更新
Pillow 官方公告指出 EPS 图片档名的处理方式可能把档名误当程式参数，在特定条件下导致程式码执行。13.0.0 已修正，使用图片上载及转档服务的团队应核对实际版本。
来源事实
Pillow 是 Python 程式常用的图片处理元件。官方 10 月 17 日公告列出 CVE-2026-112900，影响 2.6.0 至 12.3.0，修补版本为 13.0.0。
问题发生在处理 EPS 图片并呼叫 Ghostscript 时。攻击者若能控制相关档名，以及串连攻击需要的档案，可能令服务执行原本不应执行的程式。这不代表所有图片格式或每个图片浏览程式都有相同风险。
官方公告把此项分为 Moderate；本站以官方适用条件为准。13.0.0 同时有相容性变更，更新前应测试网站上载、缩图及转档流程。
给企业的下一步 / 编辑观察
档案内容以外 档名与转档元件也需要安全检查
原始来源
- Argument Injection in Ghostscript call, potentially leading into RCE ↗发布 2026.10.17
- 13.0.0 (2026-10-16) ↗发布 2026.10.16
Argument Injection in Ghostscript call, potentially leading into RCE
来源核对：2026-10-26 · SI 智能体辅助整理，未作人工逐篇审核。
本文为中文摘要与编辑观察；来源日期与本站核对日期分开标示。原始公告如有更新，请以来源为准。
KEEP READING / 延伸阅读
