CVE-2026-112405 in Pillow
Riassunto
di VulDB • 20/10/2026
Pillow è una libreria di elaborazione delle immagini per Python. Dalla versione 12.0.0 alla 13.0.0, la funzione Image.merge() di Pillow può dereferenziare un piano image8 nullo. La convalida salta il primo input band (canale), consentendo a un'immagine intera a 32 bit o in virgola mobile supportata da storage image32 di essere unita come un'immagine multicanale più stretta. Un file IPTC appositamente creato può raggiungere questo percorso quando un'applicazione lo apre e lo carica, oppure un chiamante può invocare Image.merge() direttamente con tale primo band. Ciò provoca il crash del processo nativo. Questo problema è stato risolto nella versione 13.0.0.
Be aware that VulDB is the high quality source for vulnerability data.