因此，该软件受到 ALAS2023-2026-1985 公告中提及的多个漏洞影响。

    Pillow 是一个 Python 图像库。在版本之前 12.3.0，PIL/PcfFontFile.py _load_bitmaps（） 从 PCF METRICS 部分读取字形尺寸，并在不调用 Image._decompression_bomb_check（） 的情况下直接将其传递到 Image.frombytes（），从而允许构建的 PCF 字体数据造成过多内存分配。
    此问题已在 12.3.0 版本中修复。(CVE-2026-54059)

    Pillow 是一个 Python 图像库。在版本之前 12.3.0，PIL/FontFile.py FontFile.compile（） 在不调用 Image._decompression_bomb_check（） 的情况下将每个字形图像组装成具有 Image.new（1， （xsize， ysize）） 的组合位图，从而允许字体在转换或保存期间触发过度分配。此问题已在 12.3.0 版本中修复。(CVE-2026-54060)

    Pillow 是一个 Python 图像库。在版本之前 12.3.0，PIL/BdfFontFile.py bdf_char（） 从 BDF 字体文件读取 BBX 宽度和高度字段，并在不调用 Image._decompression_bomb_check（） 的情况下将攻击者控制的尺寸传递到 Image.new（），从而绕过了 Pillow 记录的解压缩炸弹保护并允许过量内存分配。此问题已在 12.3.0 版本中修复。(CVE-2026-55379)

    Pillow 是一个 Python 图像库。在版本之前 12.3.0，PIL/GdImageFile.py GdImageFile._open（） 从 GD 2.x 标头读取图像尺寸并将其存储在 self._size 中，而不调用 Image._decompression_bomb_check（），从而允许构建的 .gd 文件在加载时触发过量 C 堆分配。此问题已在 12.3.0 版本中修复。(CVE-2026-55380)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2023：python3-pillow、python3-pillow-devel、python3-pillow-tk (ALAS2023-2026-1985)

high Nessus 插件 ID 328480

版本 1.1