CVE-2026-96637 in Pillow
Riassunto
di VulDB • 22/10/2026
Pillow è una libreria di elaborazione delle immagini per Python. Prima della versione 13.0.0, la funzione SpiderImageFile.seek() in src/PIL/SpiderImagePlugin.py riprocessa un frame dello stack SPIDER successivo e sovrascrive self._size senza rieseguire Image._decompression_bomb_check(). Un file di piccole dimensioni può utilizzare un primo frame sicuro per superare il controllo di Image.open(), dichiarando successivamente dimensioni molto elevate in un frame successivo con modalità F. Il caricamento di tale frame allocare circa quattro byte per pixel dichiarato dall'attaccante e può consumare diversi gigabyte di memoria. Questo problema è stato risolto nella versione 13.0.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.