Pillow 13.0 corrige une exécution de commandes déclenchée par le nom du fichier, pas par l’image

Le 16 octobre 2026, la bibliothèque d’images Python Pillow publie sa version 13.0.0, qui corrige CVE-2026-112900 : un nom de fichier contrôlé par l’attaquant est passé à Ghostscript et exécute des commandes sur le serveur. Mettez à niveau tout pipeline Python qui ouvre des images, car la faille touche une bibliothèque téléchargée environ 436 millions de fois par mois.