CVE-2026-112404 in Pillow
要約
〜によって VulDB • 2026年10月20日
PillowはPythonの画像処理ライブラリです。バージョン8.1.0から13.0.0まで、PillowのTIFFタイルおよびRGBAデコードパスでは、libtiffによって生成された行データを超えて読み込みが行われる可能性があります。_decodeTile関数とRGBAアンパックャーパスにおいて、Pillowとlibtiffが重複したPhotometricInterpretationタグまたはBitsPerSampleタグを異なる方法で解釈する場合、Pillowは必要な入力行がlibtiffが生成した行の範囲内に収まることを検証しません（ただしストリップパスにはこの検証処理が存在します）。このような改ざんされたTIFFファイルからピクセルを読み込むと、出力ピクセルに隣接するヒープデータが露出したり、プロセスがクラッシュしたりする可能性があります。本問題はバージョン13.0.0で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.