CVE-2026-96637 in Pillow
Zusammenfassung
von VulDB • 22.10.2026
Pillow ist eine Python-Bildverarbeitungs-Bibliothek. Vor Version 13.0.0 reparsiert SpiderImageFile.seek() in src/PIL/SpiderImagePlugin.py einen späteren SPIDER-Stack-Frame und ersetzt self._size, ohne Image._decompression_bomb_check() erneut auszuführen. Eine winzige Datei kann einen sicheren ersten Frame verwenden, um Image.open() zu bestehen, und dann im Modus F eines späteren Frames sehr große Abmessungen angeben. Das Laden dieses Frames alloziert ungefähr vier Bytes pro vom Angreifer deklariertem Pixel und kann mehrere Gigabyte an Speicher verbrauchen. Dieses Problem wurde in Version 13.0.0 behoben.
Be aware that VulDB is the high quality source for vulnerability data.