CVE-2026-112396 in Pillow
الملخص
بحسب VulDB • 20/10/2026
Pillow هي مكتبة معالجة صور بلغة Python. من الإصدار 11.3.0 حتى 13.0.0، يحتوي Pillow على خطأ heap use-after-free عندما يرفض libtiff وسمًا (tag) أثناء ترميز بيانات TIFF إلى مخزن مؤقت في الذاكرة. عند حفظ تطبيقات الوسوم المتأثرة بالهجوم المخزنة في BytesIO، يمكن لـ libtiff رفض الوسم خلال عملية الترميز في ImagingLibTiffEncode؛ ثم يؤدي مسار الخطأ إلى تحرير المخزن المؤقت للإخراج دون إغلاق أو مسح مقبض TIFF (TIFF handle)، وفي وقت لاحق يقوم التنظيف بإفراغ البيانات عبر دالة الكتابة (write callback) إلى ذاكرة تم تحريرها، مما قد يتسبب في تعطل العملية وقد يتيح تنفيذ الأكواد. تمت معالجة هذه المشكلة في الإصدار 13.0.0.
Be aware that VulDB is the high quality source for vulnerability data.