CVE-2026-96640 in Pillow
요약
\~에 의해 VulDB • 2026. 10. 21.
Pillow은 Python용 이미지 처리 라이브러리입니다. 버전 5.1.0부터 13.0.0까지, src/PIL/PdfParser.py의 PdfParser.linearize_page_tree()는 중복된 간접 참조를 추적하지 않고 PDF /Pages 그래프를 트리로 취급합니다. Image.save(..., format="PDF", append=True)가 공격자가 제어하는 기존 PDF(여러 /Kids 배열이 동일한 하위 /Pages 노드를 반복적으로 참조함)를 처리할 때, Pillow은 공유 서브트리를 별도의 페이지로 확장합니다. 따라서 작고 손상된 PDF 파일이 지수 함수적 수준의 많은 페이지 참조를 생성하여 append 작업 완료 전에 불균형적인 CPU 리소스를 소모하게 됩니다. 이 문제는 버전 13.0.0에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.