Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

github логотип

GHSA-8vj2-vxx3-667w

Опубликовано: 12 янв. 2022
Источник: github
Github: Прошло ревью
CVSS4: 9.3
CVSS3: 9.8

Описание

Arbitrary expression injection in Pillow

PIL.ImageMath.eval in Pillow before 9.0.0 allows evaluation of arbitrary expressions, such as ones that use the Python exec method ImageMath.eval("exec(exit())").

While Pillow 9.0.0 restricted top-level builtins available to PIL.ImageMath.eval(), it did not prevent builtins available to lambda expressions. These are now also restricted in 9.0.1.

Пакеты

Наименование

pillow

pip
Затронутые версииВерсия исправления

< 9.0.1

9.0.1

EPSS

Процентиль: 85%
0.02548
Низкий

9.3 Critical

CVSS4

9.8 Critical

CVSS3

Дефекты

CWE-74

Связанные уязвимости

CVSS3: 9.8
ubuntu
больше 3 лет назад

PIL.ImageMath.eval in Pillow before 9.0.0 allows evaluation of arbitrary expressions, such as ones that use the Python exec method. A lambda expression could also be used.

CVSS3: 9.8
redhat
больше 3 лет назад

PIL.ImageMath.eval in Pillow before 9.0.0 allows evaluation of arbitrary expressions, such as ones that use the Python exec method. A lambda expression could also be used.

CVSS3: 9.8
nvd
больше 3 лет назад

PIL.ImageMath.eval in Pillow before 9.0.0 allows evaluation of arbitrary expressions, such as ones that use the Python exec method. A lambda expression could also be used.

CVSS3: 9.8
debian
больше 3 лет назад

PIL.ImageMath.eval in Pillow before 9.0.0 allows evaluation of arbitra ...

CVSS3: 9.8
fstec
больше 3 лет назад

Уязвимость компонента PIL.ImageMath.eval библиотеки изображений Python Pillow, связанная с использованием опасных методов или функций, позволяющая нарушителю выполнить произвольный код

EPSS

Процентиль: 85%
0.02548
Низкий

9.3 Critical

CVSS4

9.8 Critical

CVSS3

Дефекты

CWE-74