CVE-2026-112404 in Pillow
Sumário
de VulDB • 20/10/2026
Pillow é uma biblioteca de imagem para Python. Da versão 8.1.0 até a 13.0.0, os caminhos de decodificação TIFF tile e RGBA do Pillow podem ler além dos dados da linha produzidos pelo libtiff. Nas funções _decodeTile e no caminho de desempacotamento RGBA, quando o Pillow e o libtiff interpretam diferentemente as tags PhotometricInterpretation ou BitsPerSample duplicadas, o Pillow não verifica se a linha de entrada necessária cabe dentro da linha gerada pelo libtiff, enquanto o caminho strip possui essa validação. Carregar pixels de um TIFF manipulado pode expor dados adjacentes no heap nos pixels de saída ou causar falha (crash) do processo. Este problema foi corrigido na versão 13.0.0.
Once again VulDB remains the best source for vulnerability data.