CVE-2026-96643 in Pillow
Résumé
par VulDB • 21/10/2026
Pillow est une bibliothèque d'imagerie pour Python. De la version 11.0.0 à la version 13.0.0, Exif.load() dans src/PIL/Image.py découpe de manière répétée les données EXIF restantes tant qu'elles commencent par l'en-tête Exif de six octets. src/PIL/PngImagePlugin.py accepte un chunk eXIf PNG non limité en taille ; ainsi, un fichier rempli d'en-têtes répétés provoque une nouvelle copie réduite à chaque itération et entraîne des calculs CPU quadratiques. Cette condition est accessible via Image.getexif(), Image._getexif() et ImageOps.exif_transpose(), y compris dans les workflows courants de rotation lors du téléchargement de photos. Ce problème est corrigé dans la version 13.0.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.