CVE-2026-112894 in Pillow
요약
\~에 의해 VulDB • 2026. 10. 20.
Pillow는 Python용 이미지 처리 라이브러리입니다. 버전 5.1.0부터 13.0.0까지, Pillow는 save_all 옵션을 활성화하여 여러 프레임을 저장할 때 PDF 객체 식별자를 할당하는 데 제2차 시간(Quadratic time)이 소요됩니다. PdfParser.next_object_id() 메서드는 각 객체에 대해 이전에 할당한 모든 식별자를 반복적으로 재구성하고 스캔합니다. 공격자는 다중 프레임 이미지를 제공하여 이를 multipage PDF로 변환하는 애플리케이션에 작은 APNG 파일과 큰 선언된 프레임 수를 포함시켜 서비스 거부(Denial of Service)를 유발할 수 있으며, 이는 과도한 CPU 사용량을 초래합니다. 이 문제는 버전 13.0.0에서 해결되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.