Python-un Məşhur Pillow Kitabxanasında Tənqidi Zəiflik: Serverlərdə RCE Riski

Python-un Məşhur Pillow Kitabxanasında Tənqidi Zəiflik Aşkar Edildi

Python proqramlaşdırma dilinin ən geniş yayılmış şəkil emalı kitabxanası olan Pillow-da ciddi təhlükəsizlik boşluğu aşkar edilib. Bu zəiflik, hakerlərə xüsusi hazırlanmış şəkillər vasitəsilə serverlərdə əməliyyat sistemi əmrlərini icra etməyə imkan yaradır.

CVE-2026-112900: Detallar

CVE-2026-112900 identifikatoru ilə qeydə alınan bu tənqidi boşluq, Pillow kitabxanasının EPS (Encapsulated PostScript) formatlı şəkilləri emal etmə tərzindən qaynaqlanır. Pillow, EPS şəkillərini piksellərə çevirmək üçün fayl adını birbaşa Ghostscript adlı ayrıca bir proqrama ötürür. Əsas problem burada fayl adının ötürülməzdən əvvəl lazımi yoxlamadan keçirilməməsidir.

Uzaqdan Kod İcrası (RCE) Riski

Bu yoxlama çatışmazlığı, zərərli bir istifadəçiyə saxta fayl adları daxil edərək Ghostscript-in təhlükəsizlik kontekstində ixtiyari əmrləri işə salmasına imkan verir. Nəticədə, zəifliyə məruz qalan serverlərdə uzaqdan kod icrası (RCE) həyata keçirilə bilər ki, bu da məlumat sızması, sistemin tam nəzarəti və ya digər zərərli fəaliyyətlərlə nəticələnə bilər.

Tövsiyələr

Pillow istifadəçiləri və Python layihə tərtibatçıları üçün təhlükəsizlik mütəxəssisləri ən qısa zamanda kitabxananın yenilənmiş versiyalarını quraşdırmağı tövsiyə edir. Bu yeniləmələr aşkarlanmış zəifliyi aradan qaldırır və sistemlərin potensial hücumlardan qorunmasını təmin edir.