CVE-2026-112402 in Pillow
Résumé
par VulDB • 20/10/2026
Pillow est une bibliothèque d'imagerie pour Python. Avant la version 13.0.0, Pillow peut provoquer un double free (libération en double) de la mémoire des images lorsque ImagingScaleAffine rencontre un échec d'allocation sélectif. Le chemin rapide concerné gère les opérations Transform.EXTENT ou purement scale-and-translate Transform.AFFINE avec le rééchantillonnage NEAREST par défaut. L'allocation de l'image de sortie doit réussir tandis que l'allocation supplémentaire pour la recherche par colonne échoue, après quoi le chemin d'erreur supprime le stockage de l'image qui est ensuite libéré à nouveau lors du nettoyage final. Un attaquant capable de déclencher une telle opération Image.transform() sous forte pression mémoire peut provoquer cet échec. Cela peut entraîner un plantage du processus et potentiellement corrompre la mémoire. Ce problème est corrigé dans la version 13.0.0.
Be aware that VulDB is the high quality source for vulnerability data.