Scribus 1.6.7：修了 7 个图片读取漏洞，排版的人先升

用 Scribus 排版、做宣传册和杂志的人，该升级了。10 月 28 日，开源桌面排版软件 Scribus 发布了稳定版 1.6.7，上一版 1.6.6 还是半年前——这次更新不大，但修掉了 7 个内存安全漏洞，全部出在读取 PSD、PICT、TIFF、DRW、SVM 这类图片与导入文件的地方，恶意构造的文件可能导致崩溃、甚至执行任意代码。平时会从客户、网上接各种图片素材来排版的人，这个更新值得优先装。

这次修了什么

除了 7 个内存安全漏洞，1.6.7 还修了字符格式保存不住的问题、GraphicsMagick 相关崩溃和个别字体加载崩溃，PDF 导入导出、PDF/X-4 导出时 ICC 配置文件的处理、个别图片导入后变黑的问题也一并修了，脚本方面新增了页面尺寸与页面元素边界框等 Python 函数。整体看，这就是一次典型的维护版：没有新功能大改，就是把稳定版打磨得更稳、更安全。

同日发布的还有开发版 1.7.4，带表格大改与从右向左文字改进，那是冲着未来 1.8 稳定版去的测试版——普通用户别装开发版，等 1.8 正式版再说。日常排版就认稳定版 1.6.7 这一条线。

谁该马上升级

两类人最该先升：一是经常打开别人发来的 PSD、TIFF 等图片文件进排版的人，漏洞就藏在这些文件的读取代码里；二是拿 Scribus 出正式印刷品的人，PDF 导出与 ICC 配置的修复直接关系到成品质检。升级前照例备份一次正在排的文档，升完打开老文件检查一遍字体与图片有没有走样，再继续干活。

相关阅读

• GIMP 3.2.6：免费开源的图片编辑器，修图、抠图、做海报都不用订阅费
• PDF 拆分：把一个 PDF 按页拆开，抽取指定页面另存新文件

信息来源：Scribus 1.6.7 发布说明与 9to5Linux 等开源资讯站 10 月 28 日报道；Scribus 为 GPL 开源软件，官网 scribus.net 可免费下载。本站点评为编辑观点，配图为 Scribus 真实界面截图。