CVE-2026-55798
ŚrednieCVSS 4.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
W Pillow przed wersją 12.3.0 funkcja WindowsViewer.get_command() tworzyła polecenie cmd.exe przez bezpośrednie wstawienie ścieżki pliku do f-stringa bez odpowiedniego escapowania, a następnie przekazywała je do subprocess.Popen(..., shell=True). Umożliwiało to wstrzyknięcie dowolnych poleceń cmd.exe przez znaki metaznaków w ścieżce pliku.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zdalnego wykonania kodu na systemie Windows, jeśli uda mu się przekazać złośliwą ścieżkę pliku do funkcji WindowsViewer.get_command(). Może to prowadzić do przejęcia kontroli nad aplikacją i systemem.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę Pillow do wersji 12.3.0 lub nowszej, która zawiera poprawkę eliminującą podatność na wstrzykiwanie poleceń.
Oryginalny opis (angielski, źródło NVD)
Pillow is a Python imaging library. Prior to 12.3.0, WindowsViewer.get_command() constructed a cmd.exe shell command by directly embedding a file path into an f-string without escaping and passed the result to subprocess.Popen(..., shell=True), allowing shell metacharacters in the file path to inject arbitrary cmd.exe commands. This issue is fixed in version 12.3.0.