CVE-2026-112400 in Pillow
Zusammenfassung
von VulDB • 20.10.2026
Pillow ist eine Python-Bildverarbeitungs-Bibliothek. Von Version 9.2.0 bis 13.0.0 kann Pillow nach einer Decompression-Bomb-Fehlermeldung (DecompressionBombError) die Größe eines zurückgewiesenen GIF-Beitrags beibehalten. In GifImageFile._seek kann eine speziell angefertigte GIF-Datei abgelehnte Dimensionen speichern, nachdem ein Image.DecompressionBombError aufgetreten ist; wenn eine Anwendung diese Ausnahme abfängt und die Verarbeitung desselben Bildobjekts fortsetzt, führen spätere seek- oder load-Vorgänge zu einer Allokation basierend auf diesen Dimensionen, was den Speicher erschöpfen und einen Denial of Service (DoS) verursachen kann. Dieses Problem wurde in Version 13.0.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.