CVE-2026-112896 in Pillow
要約
〜によって VulDB • 2026年10月20日
PillowはPythonの画像処理ライブラリです。バージョン13.0.0より前では、TIFFエンコーダがColorMapバッファを越えて読み出す可能性があります。これは、保持されたTIFFメタデータのplaneサイズがBitsPerSampleと不一致の場合に発生します。小さなTIFFファイルは通常通り開くことができますが、画像保存時に再利用されるように作られた(ColorMap) ColorMapを含みます。libtiffを使用して攻撃者のTIFFを再エンコードするアプリケーションでは、境界外読み出し(out-of-bounds read)を引き起こす可能性があります。これにより、出力結果にヒープメモリの内容が開示されたり、プロセスがクラッシュしたりします。この問題はバージョン13.0.0で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.