GitHub 安全公告库 (GHSA)·2026-10-22 03:58· 1 天前精选AI 评分68

Pillow 的 Ghostscript 调用存在参数注入，公开 PoC 可链式实现 RCE

Pillow: Argument Injection in Ghostscript call, potentially leading into RCE

AI 导读

研究者披露 Pillow 的 PIL.EpsImagePlugin.Ghostscript() 在构造 Ghostscript 命令行时直接把用户可控的文件名放在 -f 位置，未校验以 - 或 @ 开头的文件名，构成 CWE-88 参数注入。

为什么值得看

研究者公开了 Pillow 调用 Ghostscript 时的参数注入 PoC，并验证可链式执行命令，默认 -dSAFER 配置下同样成立。