CVE-2026-112401 in Pillow
Riassunto
di VulDB • 20/10/2026
Pillow è una libreria di elaborazione delle immagini per Python. Dalla versione 5.4.0 alla 13.0.0, Pillow esegue un'operazione di copia quadratica durante l'analisi dei commenti GIF. La funzione GifImageFile._seek() aggiunge ripetutamente byte immutabili per i sotto-blocchi di commento e le estensioni multiple del commento, mentre il frame zero viene analizzato durante Image.open(). Un attaccante può inviare un file GIF con dimensioni ridotte ma contenente molte estensioni di commento a qualsiasi applicazione che apre il file. Ciò può consumare una quantità eccessiva di CPU e causare un'interruzione del servizio (denial of service) prima che l'applicazione possa ispezionare l'immagine. Questo problema è stato risolto nella versione 13.0.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.