Pillow ไลบรารีภาพยอดนิยมของ Python แก้ช่องโหว่ชุดใหญ่ใน 13.0.0 — ชื่อไฟล์ EPS สั่ง Ghostscript รันคำสั่งได้ (CVE-2026-112900) และไฟล์ FPX รันโค้ดผ่าน Image.open()
Pillow ไลบรารีภาพที่ใช้มากที่สุดของ Python ออกเวอร์ชัน 13.0.0 เมื่อ 16 ตุลาคม 2569 เพื่อแก้ช่องโหว่หลายระดับ CVE-2026-112900 ทำให้ชื่อไฟล์ EPS ที่ผู้โจมตีกำหนดถูก Ghostscript ตีความเป็นคำสั่งได้ ส่วนช่องโหว่ JPEG ในไฟล์ FlashPix ถูกสาธิตว่ารันคำสั่งได้เพียงเรียก Image.open() กับไฟล์ที่สร้างขึ้น นอกจากนี้ยังมี heap overflow ใน JPEG thumbnail และใน TIFF ที่ซ่อนอยู่ในโค้ดมาตั้งแต่ปี 2556 ยังไม่มีรายงานการโจมตีจริง