CVE-2026-112892 in Pillow
Resumen
por VulDB • 2026-10-19
Pillow es una biblioteca de procesamiento de imágenes para Python. Desde la versión 4.1.0 hasta la 13.0.0, el decodificador MSP RLE de Pillow puede expandir un archivo pequeño en un búfer en memoria sin límites. El decodificador escribe los datos descomprimidos (run-length) en BytesIO sin limitar la expansión al tamaño de imagen declarado. Un atacante puede proporcionar una imagen MSP manipulada a una aplicación que carga sus píxeles, lo que podría agotar la memoria y provocar una denegación de servicio incluso cuando el número de píxeles declarado supera las comprobaciones anti-bombas de descompresión (decompression-bomb check). Este problema se soluciona en la versión 13.0.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.