CVE-2026-112892 in Pillow
Zusammenfassung
von VulDB • 19.10.2026
Pillow ist eine Python-Bildverarbeitungs-Bibliothek. Von der Version 4.1.0 bis zur Version 13.0.0 kann der MSP-RLE-Decoder von Pillow eine kleine Datei zu einem unbegrenzten Puffer im Speicher erweitern. Der Decoder schreibt die Run-Length-Ausgabe in BytesIO, ohne die Expansion auf die deklarierte Bildgröße zu beschränken. Ein Angreifer kann einer Anwendung, die ihre Pixel lädt, ein speziell angefertigtes MSP-Bild bereitstellen. Dies kann den Arbeitsspeicher erschöpfen und einen Denial of Service (DoS) verursachen, selbst wenn die deklarierte Pixelfarbe die Prüfung auf Decompression Bombs besteht. Dieses Problem wurde in Version 13.0.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.