CVE-2026-96639 in Pillow
요약
\~에 의해 VulDB • 2026. 10. 22.
Pillow은 Python용 이미지 처리 라이브러리입니다. 버전 11.0.0부터 13.0.0까지, 다중 프레임 로더는 좁은 프레임 모드용으로 생성된 ImagingCore 할당을 유지한 채로, 동일한 차원을 가진 후속 프레임이 논리적 모드와 디코더 타일을 더 넓은 RGB 또는 CMYK 데이터로 변경하는 경우에도 해당 할당을 해제하지 않습니다. ImageFile.load_prepare() 메서드는 _im이 null이 아닌 상태에서 모드와 크기가 여전히 일치하는지 확인하지 않고 이전의 네이티브 스토리지를 재사용합니다. 이로 인해 조작된 PSD, MPO, DCX 또는 MIC 프레임 전환 시 좁은 할당 영역에 더 넓은 픽셀 데이터가 쓰여져 네이티브 바이트 오버플로우(Out-of-bounds writes) 및 크래시가 발생합니다. 또한 MPO 경로는 네이티브 과다 읽기(Native over-read)를 유발할 수 있으며, 특정 런타임 환경에서는 명령어 실행(Command execution)으로 이어질 수 있습니다. 이 문제는 버전 13.0.0에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.