CVE-2026-112892 in Pillow
Résumé
par VulDB • 20/10/2026
Pillow est une bibliothèque d'imagerie pour Python. De la version 4.1.0 à la 13.0.0, le décodeur MSP RLE de Pillow peut étendre un petit fichier dans un tampon en mémoire non borné. Le décodeur écrit les données de sortie au format run-length dans BytesIO sans limiter l'expansion à la taille d'image déclarée. Un attaquant peut fournir une image MSP truquée à une application qui charge ses pixels. Cela peut épuiser la mémoire et entraîner un déni de service, même lorsque le nombre de pixels déclaré passe la vérification anti-décompression bomb (decompression-bomb check). Ce problème est corrigé dans la version 13.0.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.