Saleor 3.22.74: обновление Pillow с исправлениями безопасности

В pyproject.toml диапазон зависимости изменён с pillow>=12.3.0,<13 на pillow>=13.0.0,<14, а файл фиксации зависимостей переводит Pillow с 12.3.0 на 13.0.0. Разработчики Saleor связывают обновление с 38 CVE и бюллетенями безопасности. Это их совокупный счётчик исправлений зависимости, а не утверждение о 38 независимо подтверждённых уязвимостях в каждом магазине.

Один из конкретных примеров — CVE-2026-96643 / GHSA-g4qv-2jxx-769h, которому Pillow присвоил уровень High. Для Pillow 11.0.0–12.3.0 специально подготовленные EXIF-данные PNG могли резко увеличивать затраты процессорного времени при чтении метаданных; исправленная версия — 13.0.0. В Saleor библиотека используется при создании миниатюр, а код подготовки изображения читает EXIF для ориентации. Это показывает связь обновления с серверной обработкой медиа, но не заменяет проверку доступных форматов и путей загрузки конкретной установки.

В Pillow 13.0.0 исправлена и CVE-2026-96639 / GHSA-v9pv-5gc8-w2m6 с оценкой Critical, CVSS 9.8. Бюллетень указывает Pillow от 11.0.0 до 12.3.0 включительно: переходы между кадрами с разными цветовыми режимами могли повреждать память. Автор описывает выполнение команд в определённых условиях обработки MPO/JPEG, а не универсальную возможность для любого приложения с Pillow. Достижимость этого сценария через Saleor здесь не установлена; оценка Critical относится к уязвимости библиотеки.

Обновление имеет и границы совместимости: Pillow 13 прекращает поддержку Python 3.10, однако опубликованный Saleor 3.22.74 уже требует Python >=3.12,<3.13. Сравнение с 3.22.73 показывает изменения зависимостей и служебных файлов выпуска, без новых миграций БД или изменений GraphQL-схемы. Для связки Saleor + Next.js выпуск касается серверной зависимости обработки изображений; он сам по себе не обновляет код и зависимости отдельной витрины.