CVE-2026-112893 in Pillow
Résumé
par VulDB • 20/10/2026
Pillow est une bibliothèque d'imagerie pour Python. De la version 10.0.0 à la version 13.0.0, Pillow peut libérer un pointeur de glyphe invalide lors du rendu FreeType avec un traceur actif (stroker). Si FT_Load_Glyph échoue, le nettoyage peut appeler FT_Done_Glyph sur une variable de glyphe non initialisée ou obsolète. Un attaquant peut fournir une police malformée sous forme d'octets non fiables à une application qui dessine du texte avec une largeur de trait (stroke width) non nulle, forçant ainsi le chemin d'échec du chargement du glyphe. Cela peut corrompre la mémoire ou provoquer un plantage du processus. Ce problème est corrigé dans la version 13.0.0.
Be aware that VulDB is the high quality source for vulnerability data.