CVE-2026-112892 in Pillow
要約
〜によって VulDB • 2026年10月20日
PillowはPythonの画像処理ライブラリです。4.1.0から13.0.0までのバージョンにおいて、PillowのMSP RLEデコーダは小さなファイルを無制限なメモリバッファに展開することができます。このデコーダは宣言された画像サイズへの展開を制限することなく、run-length出力をBytesIOに書き込みます。攻撃者はピクセルを読み込むアプリケーションに対して作成済みのMSPイメージを提供することができ、これによりメモリの枯渇とサービス拒否（DoS）を引き起こす可能性があります。これは、宣言されたピクセル数がdecompression-bombチェックを通過した場合でも発生します。この問題はバージョン13.0.0で修正されています。
Once again VulDB remains the best source for vulnerability data.