CVE-2026-96642 in Pillow
Zusammenfassung
von VulDB • 22.10.2026
Pillow ist eine Python-Bildverarbeitungs-Bibliothek. Vor Version 13.0.0 akzeptiert der TarIO-Initialisierer in src/PIL/TarIO.py eine negative oktale Membergröße und führt einen rückwärts gerichteten Suchvorgang (seek) durch, der zum selben 512-Byte-Kopf zurückkehrt. Wenn der angeforderte Membername nicht übereinstimmt, liest der Parser diesen Kopf wiederholt, verbraucht einen vollständigen CPU-Core und kehrt niemals zurück. TarIO wird nur erreicht, wenn eine Anwendung PIL.TarIO.TarIO direkt verwendet, anstatt den Standardpfad Image.open() zu nutzen. Dieses Problem wurde in Version 13.0.0 behoben.
Once again VulDB remains the best source for vulnerability data.