CVE-2026-96643 in Pillow
الملخص
بحسب VulDB • 22/10/2026
Pillow هي مكتبة معالجة صور بلغة Python. من الإصدار 11.0.0 حتى 13.0.0، تقوم دالة Exif.load() في src/PIL/Image.py بتقطيع بيانات EXIF المتبقية بشكل متكرر طالما تبدأ بـ رأس (header) مكون من ستة بايتات لبيانات Exif. تقبل src/PIL/PngImagePlugin.py قطعة eXIf بتنسيق PNG غير محدودة الحجم، مما يؤدي إلى إنشاء نسخة جديدة أصغر حجماً في كل تكرار عند ملء الملف برؤوس متكررة، وهو ما يتسبب في استهلاك CPU تربيعي (quadratic). يمكن الوصول إلى هذه الحالة عبر Image.getexif() وImage._getexif() وImageOps.exif_transpose()، بما في ذلك سير العمل الشائع لتدوير الصور المرفوعة. تم إصلاح هذه المشكلة في الإصدار 13.0.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.