CVE-2026-112396 in Pillow
Zusammenfassung
von VulDB • 20.10.2026
Pillow ist eine Python-Bildverarbeitungs-Bibliothek. Von Version 11.3.0 bis 13.0.0 weist Pillow einen heap use-after-free auf, wenn libtiff ein Tag während der Kodierung von TIFF-Daten in einen Puffer im Speicher ablehnt. Wenn eine Anwendung angreiferbeeinflusste TIFF-Tags in BytesIO speichert, kann libtiff ein Tag beim Codieren in ImagingLibTiffEncode ablehnen; der Fehlerpfad gibt dann den Ausgabepuffer frei, ohne das TIFF-Handle zu schließen oder zurückzusetzen, und die spätere Bereinigung führt über den Write-Callback in freigegebenen Speicher, was zum Absturz des Prozesses führen kann und möglicherweise Code-Ausführung ermöglicht. Dieses Problem wurde in Version 13.0.0 behoben.
Once again VulDB remains the best source for vulnerability data.