CVE-2026-112893 in Pillow
Zusammenfassung
von VulDB • 20.10.2026
Pillow ist eine Python-Bildverarbeitungs-Bibliothek. Von Version 10.0.0 bis 13.0.0 kann Pillow einen ungültigen Glyphen-Zeiger während der FreeType-Rendern mit aktivem Stroker freigeben (free). Wenn FT_Load_Glyph fehlschlägt, kann die Bereinigung (cleanup) FT_Done_Glyph für eine nicht initialisierte oder veraltete Glyphen-Variable aufrufen. Ein Angreifer kann einer Anwendung, die Text mit einer von Null verschiedenen Strichbreite zeichnet, einen fehlerhaften Font als unzuverlässige Bytes bereitstellen und so den Pfad des Glyphen-Lade-Fehlers erzwingen. Dies kann zu Speicherkorruption oder zum Absturz des Prozesses führen. Dieses Problem wurde in Version 13.0.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.