Uma vulnerabilidade crítica na Pillow, uma ferramenta de processamento de imagem popular da linguagem de programação Python, permite que invasores assumam o controle de servidores na internet. O ataque é disparado quando o sistema tenta processar um arquivo renomeado para incluir comandos maliciosos. A brecha atinge o formato EPS, comumente usado para arquivos vetoriais e ilustrações no design gráfico. O problema surge da falta de validação no Pillow, que repassa o nome de documento diretamente ao programa auxiliar Ghostscript sem verificar se o texto traz instruções invasoras.
A equipe responsável pelo software confirmou, em documentação oficial, a gravidade da situação: “A falha é acionada pelo nome do arquivo, e não por qualquer elemento dentro do documento PostScript”, declararam os programadores que cuidam do projeto, em comunicado de segurança publicado no GitHub. A declaração reforça que até mesmo uma imagem inofensiva pode causar estragos caso o nome do arquivo seja definido por um invasor.
A versão atualizada também corrige um defeito na criação de miniaturas, as versões reduzidas de imagens usadas para pré-visualização na web. Essa falha específica, identificada como CVE-2026-112403, faz o servidor travar ao tentar redimensionar fotos em formato JPEG.
