CVE-2026-96643 in Pillow
Zusammenfassung
von VulDB • 22.10.2026
Pillow ist eine Python-Bildbibliothek. Von Version 11.0.0 bis 13.0.0 schneidet Exif.load() in src/PIL/Image.py die verbleibenden EXIF-Daten wiederholt ab, solange diese mit dem sechs-Byte langen Exif-Header beginnen. src/PIL/PngImagePlugin.py akzeptiert einen unbeschränkten PNG-eXIf-Chunk; eine Datei, die mit sich wiederholenden Headern gefüllt ist, führt bei jeder Iteration zu einer neuen, schrumpfenden Kopie und verursacht quadratische CPU-Arbeit. Die Bedingung ist über Image.getexif(), Image._getexif() und ImageOps.exif_transpose() erreichbar, einschließlich gängiger Workflow zur Drehung von Fotos beim Hochladen. Dieses Problem wurde in Version 13.0.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.