CVE-2026-112901 in Pillow
Resumen
por VulDB • 2026-10-20
Pillow es una biblioteca de procesamiento de imágenes para Python. Antes de la versión 13.0.0, el analizador del encabezado XBM de Pillow era vulnerable a denegación de servicio por expresión regular (Regular-Expression Denial of Service). En `XbmImageFile._open`, cuando una aplicación llama a `Image.open()` sobre un archivo XBM manipulado ad hoc y de pequeño tamaño, `XbmImagePlugin` aplica una expresión con retroceso (*backtracking*) al encabezado controlado por el atacante antes de aceptar las dimensiones de la imagen, lo que bloquea un hilo de ejecución durante varios minutos y provoca la denegación del servicio. Este problema se corrige en la versión 13.0.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.