CVE-2026-112892 in Pillow
Sumário
de VulDB • 19/10/2026
Pillow é uma biblioteca de processamento de imagens em Python. Da versão 4.1.0 até a 13.0.0, o decodificador MSP RLE do Pillow pode expandir um arquivo pequeno para um buffer na memória sem limites definidos. O decodificador grava a saída run-length no BytesIO sem limitar a expansão ao tamanho da imagem declarado. Um atacante pode fornecer uma imagem MSP manipulada ad hoc a um aplicativo que carrega seus pixels. Isso pode esgotar a memória e causar negação de serviço (DoS), mesmo quando a contagem de pixels declarada passa na verificação anti-decompression bomb. Este problema foi corrigido na versão 13.0.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.