РелизВерсия 3.23.43
Saleor 3.23.43: Pillow 13 для безопасности обработки изображений
19 октября 2026 года опубликован стабильный Saleor 3.23.43. В ветке 3.23 обновили Pillow до 13.0.0 — версии библиотеки обработки изображений с многочисленными исправлениями безопасности. Это отдельный выпуск для пользователей этой ветки.
В сравнении с 3.23.42 основной содержательный переход — Pillow с 12.3.0 на 13.0.0 в файле фиксации зависимостей. Минимальная версия в pyproject.toml теперь задана диапазоном pillow>=13.0.0,<14. Saleor указывает, что обновление закрывает 38 CVE и бюллетеней зависимости. Это не означает 38 отдельных эксплуатируемых ошибок именно в API магазина: среди исправлений библиотеки есть разные форматы и сценарии.
Например, официальный бюллетень CVE-2026-96643 / GHSA-g4qv-2jxx-769h описывает проблему High в Pillow 11.0.0–12.3.0, исправленную в 13.0.0. Подготовленные EXIF-данные PNG могли вызывать квадратичный рост затрат процессорного времени при чтении метаданных изображения. Для этого требуется, чтобы приложение обработало такой файл через соответствующий путь EXIF; наличие библиотеки само по себе ещё не доказывает доступность сценария во всяком развёртывании Saleor.
Этот выпуск не добавляет миграций БД или изменений GraphQL-схемы: сравнение тегов ограничивается зависимостями и служебными файлами релиза. Требование Saleor остаётся Python >=3.12,<3.13; прекращение поддержки Python 3.10 в Pillow 13 не превращает Saleor в приложение для Python 3.10. Обновление относится к серверному ядру, а не к отдельно разрабатываемой витрине Next.js. Утверждений о массовой эксплуатации или проверке уязвимостей на стенде Удельты нет.