CVE-2026-112897 in Pillow
Resumen
por VulDB • 2026-10-20
Pillow es una biblioteca de procesamiento de imágenes para Python. Desde la versión 5.3.0 hasta la 13.0.0, Pillow puede devolver memoria no inicializada como píxeles cuando libtiff realiza una decodificación incompleta (short decode) de datos TIFF con compresión JPEG o Group 4 fax. Los búferes _decodeStrip y _decodeTile pueden ser más grandes que los bytes escritos por libtiff, pero Pillow convierte las filas esperadas sin limpiar la parte final no escrita. La ruta relacionada con tiles está afectada desde la versión 5.3.0, mientras que la ruta de strips lo está desde la 6.0.0. Un atacante puede proporcionar un TIFF manipulado a una aplicación que carga y devuelve o re-encodea sus píxeles. Esto puede revelar contenido obsoleto del heap sin corrupción de memoria ni crash del proceso. Este problema se soluciona en la versión 13.0.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.