CVE-2026-112405 in Pillow
Sumário
de VulDB • 20/10/2026
Pillow é uma biblioteca de imagem para Python. Da versão 12.0.0 até a 13.0.0, o método Image.merge() do Pillow pode desreferenciar um plano image8 nulo. A validação ignora a primeira banda de entrada, permitindo que uma imagem com inteiros de 32 bits ou ponto flutuante, armazenada em image32, seja mesclada como uma imagem multibanda mais estreita. Um arquivo IPTC elaborado pode atingir esse caminho quando um aplicativo o abre e carrega, ou um chamador pode invocar Image.merge() diretamente com essa primeira banda. Isso causa a falha do processo nativo. Este problema foi corrigido na versão 13.0.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.