jt-doc-toolsjt-doc-tools 於 2026 年 11 月 5 日發布安全公告 GHSA-29r9-6ff3-vp55：多項功能以 Pillow 處理使用者上傳的圖片，Pillow 13.0.0 之前的版本有圖片解碼的記憶體安全問題，包含上游 Pillow 漏洞 CVE-2026-112403（JPEG 解碼堆積緩衝區溢位）與 CVE-2026-112398（FlashPix 內 JPEG 解碼堆積緩衝區溢位），特製圖片可能使服務中斷，也可能以服務帳號權限執行程式；實際能否觸發取決於圖片格式與處理方式，並非所有上游 Pillow 漏洞均已確認可經由 jt-doc-tools 觸發。GitHub Advisory Database 與 CVE 紀錄將兩則上游漏洞列為 CVSS 4.0 9.2（重大），Pillow 專案原始公告則分別標示為 High 與 Critical；本則採 jt-doc-tools 原廠依已確認的阻斷服務影響評定的 CVSS 3.1 7.5（高）。未啟用登入時，能連線到服務者即可送出圖片。
影響版本
- jt-doc-tools 早於 1.17.7 的版本（內附有漏洞的 Pillow）
- jt-doc-tools 1.17.7 至 1.17.11：仍使用 Python 3.10 的 Linux 環境可能保留舊版 Pillow（Python 3.11 以上的環境已使用 Pillow 13.0.0 以上）
已修正版本
- jt-doc-tools1.17.12 以上2026-10-22；一律要求 Python 3.11 以上與 Pillow 13.0.0 以上
- jt-doc-tools1.17.26截至 2026-11-05 最新版本，2026-11-03
建議處理方式
- Linux / macOS 執行 sudo jtdt update；Windows 以系統管理員身分開啟 PowerShell 執行 jtdt update
- 仍使用 Python 3.10 的 Linux 環境：若第一次執行未重建執行環境，請再執行一次 jtdt update
- 完成後確認執行中服務載入的 Pillow 為 13.0.0 以上
暫時無法更新時
- 啟用登入，只開放圖片處理工具給信任的使用者
- 不要讓服務暴露於不受信任的網路；以上措施只能降低暴露，無法取代升級
如何確認是否受影響
- 執行 jtdt version 確認版本為 1.17.12 以上
- 於「設定 → 系統相依套件」確認執行中服務載入的 Pillow 版本為 13.0.0 以上
參考來源
本文依原廠與公開漏洞資料庫資訊整理，實際影響請以原廠公告為準。