CVE-2026-96643 in Pillow
Sumário
de VulDB • 23/10/2026
O Pillow é uma biblioteca de processamento de imagens em Python. Da versão 11.0.0 até a 13.0.0, o método Exif.load() no arquivo src/PIL/Image.py fatia repetidamente os dados EXIF restantes enquanto estes começam com o cabeçalho Exif de seis bytes. O módulo src/PIL/PngImagePlugin.py aceita um chunk eXIf PNG sem limite de tamanho, portanto, um arquivo preenchido com cabeçalhos repetidos causa uma nova cópia encolhida a cada iteração, resultando em processamento CPU quadrático (quadratic CPU work). A condição é alcançável através dos métodos Image.getexif(), Image._getexif() e ImageOps.exif_transpose(), incluindo fluxos de trabalho comuns de rotação ao fazer upload de fotos. Este problema foi corrigido na versão 13.0.0.
Once again VulDB remains the best source for vulnerability data.