CVE-2026-112391 in Pillow
요약
\~에 의해 VulDB • 2026. 10. 19.
Pillow은 Python 기반의 이미지 처리 라이브러리입니다. 버전 5.1.0부터 13.0.0까지 Pillow의 PdfParser.get_value() 메서드는 중첩된 PDF 객체를 읽는 동안 제한 없이 재귀 호출을 수행할 수 있습니다. 기존 PDF 파일을 추가 모드로 열 때, 파서는 공격자가 제어하는 배열과 딕셔너리를 따라갑니다. 공격자는 PDF 추가 기능이 활성화된 상태에서 이미지를 저장하는 애플리케이션에 깊게 중첩된 PDF를 제공할 수 있으며, 이로 인해 처리되지 않은 RecursionError가 발생하거나 워커 프로세스가 종료되어 서비스 거부(Denial of Service) 상태가 초래될 수 있습니다. 이 문제는 버전 13.0.0에서 해결되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.