Pillow command injection

緊急 10.0CVE-2014-3007 · GHSA-8m9x-pxwq-j236 · PYSEC-2014-87 · 27/04/2014 公開 · 17/06/2026 更新

要点

CVE-2014-3007 は pillow, pillow (python), python imaging library (pythonware) に影響する深刻度「緊急」 (CVSS 10.0) の脆弱性です。
今後30日間に悪用される確率（EPSS）：10.4%（全脆弱性の 95.7% より高い）。
対処：2.5.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
pillow PyPI	`< 2.5.0`	`2.5.0`
pillow python	`= 2.3.0`	修正版なし
python imaging library pythonware	`≤ 1.1.7`	修正版なし

概要

Python Image Library (PIL) 1.1.7 and earlier and Pillow before 2.5.0 might allow remote attackers to execute arbitrary commands via shell metacharacters in unspecified vectors related to CVE-2014-1932, possibly JpegImagePlugin.py.

NVD の説明

Python Image Library (PIL) 1.1.7 and earlier and Pillow 2.3 might allow remote attackers to execute arbitrary commands via shell metacharacters in unspecified vectors related to CVE-2014-1932, possibly JpegImagePlugin.py.