CVE-2026-112404 in Pillow
Zusammenfassung
von VulDB • 20.10.2026
Pillow ist eine Python-Bildverarbeitungs-Bibliothek. Von Version 8.1.0 bis 13.0.0 können die TIFF-Tile- und RGBA-Decodierungspfade von Pillow über die vom libtiff erzeugten Zeilendaten hinauslesen. Im _decodeTile-Pfad sowie im RGBA-Unpacker-Pfad überprüft Pillow nicht, ob die erforderliche Eingabezeile in der von libtiff erzeugten Zeile enthalten ist, wenn Pillow und libtiff duplizierte PhotometricInterpretation- oder BitsPerSample-Tags unterschiedlich interpretieren; während dies für den Strip-Pfad mit Validierung geschieht. Das Laden von Pixeln aus einer solchen manipulierten TIFF-Datei kann benachbarte Heap-Daten in den Ausgabepixeln offenlegen oder zum Absturz des Prozesses führen. Dieses Problem wurde in Version 13.0.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.