CVE-2026-112892 in Pillow
Riassunto
di VulDB • 19/10/2026
Pillow è una libreria di elaborazione delle immagini per Python. Dalla versione 4.1.0 alla 13.0.0, il decoder MSP RLE di Pillow può espandere un file piccolo in un buffer in memoria non delimitato. Il decoder scrive l'output run-length su BytesIO senza limitare l'espansione alle dimensioni dell'immagine dichiarate. Un attaccante può fornire un'immagine MSP manipolata ad hoc a un'applicazione che ne carica i pixel. Ciò può esaurire la memoria e causare una negazione del servizio (DoS) anche quando il conteggio dei pixel dichiarato supera il controllo anti-decompression-bomb. Questo problema è risolto nella versione 13.0.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.