CVE-2023-50447
Publiée le 2024-01-19 · Dernière modification le 2026-06-17
Les applications utilisant la bibliothèque de traitement d'images Pillow (version 10.1.0 ou antérieure) sont vulnérables à l'exécution de code à distance. Un attaquant peut exécuter des commandes arbitraires sur votre serveur en manipulant le paramètre `environment` de la fonction `ImageMath.eval`. Bien que cela ne nécessite ni authentification ni interaction de l'utilisateur, l'exécution est difficile car l'attaquant doit trouver un moyen de transmettre des entrées spécifiques à cette fonction précise via la logique de votre application.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Pillow through 10.1.0 allows PIL.ImageMath.eval Arbitrary Code Execution via the environment parameter, a different vulnerability than CVE-2022-22817 (which was about the expression parameter).