חולשת RCE קריטית בספריית Pillow בפייתון מאפשרת הרצת פקודות באמצעות תמונה
אמ;לק
חולשת אבטחה חמורה התגלתה בספריית Pillow הפופולרית לעיבוד תמונות בפייתון, המאפשרת הרצת פקודות מערכת בשרת. הפגיעות נובעת מאופן הטיפול בקובצי EPS, שבו שם הקובץ מועבר לתוכנת Ghostscript החיצונית ללא אימות או סינון מקדים. מפתחים המשתמשים בספרייה בצינורות עיבוד נתונים או שרתי ווב נדרשים לעדכן גרסה בהקדם.
סיכום בעברית: מערכת VibeSec · מדיניות המקורות
נוסף ל-VibeSec:
כותרת מקורית: Critical Flaw in Python’s Popular Pillow Image Library Allows Code Execution via a Crafted Image
התוכן המלא בעברית
תרגום אוטומטי מהמקור; מונחים טכניים נשארו באנגלית. לנוסח המחייב — הכתבה המקורית.
ניתן לגרום ל-Pillow, ספריית התמונות הנפוצה ביותר עבור Python, להריץ פקודות מערכת הפעלה על שרת באמצעות ציון שם של קובץ שהספרייה מתבקשת לפתוח.
הפגם, CVE-2026-112900, טמון בדרך שבה Pillow מטפל בתמונות EPS. הספרייה פותחת אותן על ידי העברת שם הקובץ ל-Ghostscript, תוכנה חיצונית שמופעלת כדי להמיר את התמונה לפיקסלים, מבלי לבצע בדיקה מקדימה לשם הקובץ.
קריאה וכלים קשורים
אבטחת Python- Bandit — סריקה סטטית לקוד Python לאיתור בעיות אבטחה נפוצות.
- Bearer — SAST עם התמקדות בפרטיות ו-PII
- CodeQL — מנוע ניתוח סטטי של GitHub
- עדכון אבטחה קריטי ב-Django: חובה לעדכן גרסה
- הכירו את HTTP2Shell: סיכון אבטחה בטכנולוגיית הדחיסה Brotli
- שדרוג קבוצת חבילות pip כולל עדכון certifi