CVE-2026-112404 in Pillow
Résumé
par VulDB • 20/10/2026
Pillow est une bibliothèque d'imagerie pour Python. De la version 8.1.0 à la version 13.0.0, les chemins de décodage des tuiles TIFF et RGBA de Pillow peuvent lire au-delà des données de ligne produites par libtiff. Dans _decodeTile et le chemin du désempaqueteur RGBA, lorsque Pillow et libtiff interprètent différemment les tags PhotometricInterpretation ou BitsPerSample dupliqués, Pillow ne vérifie pas que la ligne d'entrée requise tient dans la ligne produite par libtiff, tandis que le chemin des bandes (strip) dispose de cette validation. Le chargement de pixels à partir d'un TIFF crafted peut exposer les données adjacentes du heap dans les pixels de sortie ou provoquer un crash du processus. Ce problème est corrigé dans la version 13.0.0.
Be aware that VulDB is the high quality source for vulnerability data.