原文標題：Pillow CVE-2026-112900: How to find and fix it with GitLab
GitLab 10 月 26 日發布 Python 影像處理套件 Pillow 的安全修補指南，聚焦 CVE-2026-112900。這項漏洞在 Pillow 呼叫 Ghostscript 處理 EPS 影像時，可能把受攻擊者影響的檔名當成命令列選項或額外參數檔，形成 CWE-88 參數注入與 CWE-78 作業系統命令注入風險。CVE 於 10 月 19 日公布，CVSS 4.0 為 9.2（Critical）。
影響範圍為 Pillow 2.6.0 起至 13.0.0 之前版本。風險並非安裝 Pillow 就必然能遭遠端利用，還需要環境安裝 Ghostscript、程式實際載入或渲染 EPS，且攻擊者能影響輸入檔名；進一步執行命令還涉及可控制額外參數檔內容。GitLab 指出，目前尚無已知實際在野利用證據。
建議優先升級 Pillow 13.0.0，盤點依賴樹與容器映像中的間接依賴，並重新建置與測試。若無法立即升級，可為上傳檔案產生安全檔名、限制允許影像格式，或在不需要 EPS 的環境移除 Ghostscript。Pillow 13.0.0 另包含 17 項 High 與 Critical 等級的安全公告，其中 3 項 Critical、14 項 High，不能只處理單一 CVE。
GitLab 強調其 GitLab.com、Self-Managed 與 Dedicated 產品本身不包含 Pillow，因此不受該漏洞影響。文章是協助使用 GitLab 管理 Python 專案的團隊利用依賴掃描、容器掃描、程式碼搜尋與 GitLab Duo Agent Platform 進行跨專案修補，不應誤解為 GitLab 產品自身遭入侵。
發生了什麼事
GitLab 發布 Pillow CVE-2026-112900 的條件分析與修補指南，建議更新至 13.0.0。
為什麼重要
圖片處理常屬間接依賴，若檔名與 Ghostscript 參數未妥善隔離，可能導致命令執行風險。
影響哪些人
Python 網站、縮圖服務、文件轉檔平台與維護容器映像的 DevSecOps 團隊。
已確認與未確認
已確認受影響版本、利用前提及修補版；截至官方發稿尚無已知在野利用，GitLab 自身產品不受影響。
