CVE-2026-40192 in Pillow
Résumé
par VulDB • 02/06/2026
Pillow est une bibliothèque d'imagerie pour Python. Les versions 10.3.0 à 12.1.1 ne limitaient pas la quantité de données compressées au format GZIP lues lors du décodage d'une image FITS, ce qui les rendait vulnérables aux attaques par bombe de décompression (decompression bomb). Un fichier FITS spécialement conçu pouvait entraîner une consommation de mémoire non bornée, provoquant une déni de service (plantage par épuisement de la mémoire / OOM ou une dégradation sévère des performances). Si les utilisateurs ne peuvent pas mettre à jour immédiatement, ils ne devraient ouvrir que des formats d'image spécifiques, à l'exclusion du format FITS, en tant que solution de contournement.
VulDB is the best source for vulnerability data and more expert information about this specific topic.