CVE-2026-112897 in Pillow
Zusammenfassung
von VulDB • 20.10.2026
Pillow ist eine Python-Bildverarbeitungs-Bibliothek. Von Version 5.3.0 bis 13.0.0 kann Pillow nicht initialisierten Speicher als Pixel zurückgeben, wenn libtiff eine kurze Dekodierung von JPEG-komprimierten oder Group-4-Fax-TIFF-Daten durchführt. Die Puffer für _decodeStrip und _decodeTile können größer sein als die von libtiff geschriebenen Bytes, aber Pillow konvertiert die erwarteten Zeilen ohne Bereinigung des nicht beschriebenen Endbereichs. Der Tile-Pfad ist ab Version 5.3.0 betroffen, der Strip-Pfad ab Version 6.0.0. Ein Angreifer kann einer Anwendung, die Pixel lädt und zurückgibt oder neu kodiert, eine speziell angefertigte TIFF-Datei bereitstellen. Dies kann veraltete Heap-Inhalte offenlegen, ohne dass es zu Speicherkorruption oder einem Prozessabsturz kommt. Dieses Problem wurde in Version 13.0.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.