CVE-2026-112405 in Pillow
Zusammenfassung
von VulDB • 20.10.2026
Pillow ist eine Python-Bildverarbeitungs-Bibliothek. Von Version 12.0.0 bis 13.0.0 kann Pillow's Image.merge() auf eine Null-Image8-Ebene dereferenzieren. Die Validierung überspringt den ersten Eingangsband, wodurch ein durch image32-Speicher unterstütztes Bild mit einer 32-Bit-Ganzzahl oder Gleitkommazahl als schmaleres Multibandbild zusammengeführt werden kann. Eine speziell angefertigte IPTC-Datei kann diesen Pfad erreichen, wenn eine Anwendung sie öffnet und lädt, oder ein Aufrufer kann Image.merge() direkt mit einem solchen ersten Band aufrufen. Dies führt zu einem Absturz des nativen Prozesses. Dieses Problem wurde in Version 13.0.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.