CVE-2026-55798
Beschrijving NL
Pillow is een Python-beeldverwerkingsbibliotheek. Voorafgaand aan 12.3.0 construeerde WindowsViewer.get_command() een cmd.exe shell-opdracht door een bestandspad rechtstreeks in een f-string in te sluiten zonder te ontsnappen en het resultaat door te geven aan subproces.Popen (..., shell=True), waardoor shell-metakarakters in het bestandspad willekeurige cmd.exe-opdrachten kunnen injecteren. Dit probleem is opgelost in versie 12.3.0.
Origineel (Engels) tonen
Pillow is a Python imaging library. Prior to 12.3.0, WindowsViewer.get_command() constructed a cmd.exe shell command by directly embedding a file path into an f-string without escaping and passed the result to subprocess.Popen(..., shell=True), allowing shell metacharacters in the file path to inject arbitrary cmd.exe commands. This issue is fixed in version 12.3.0.