CVE-2026-112404 in Pillow
Сводка
по VulDB • 20.10.2026
Pillow — это библиотека для обработки изображений на Python. Начиная с версии 8.1.0 и вплоть до 13.0.0, пути декодирования TIFF-тайлов (TIFF tile) и RGBA в Pillow могут выходить за пределы данных строки, созданных библиотекой libtiff. В функциях _decodeTile и при использовании распаковщика RGBA, когда Pillow и libtiff по-разному интерпретируют дублирующиеся теги PhotometricInterpretation или BitsPerSample, Pillow не проверяет, что требуемая входная строка помещается в данные строки, сгенерированные libtiff, тогда как путь обработки полос (strip path) содержит такую проверку. Загрузка пикселей из специально созданного TIFF-файла может привести к раскрытию соседних данных в куче (heap data) через выходные пиксели или вызвать аварийное завершение процесса. Эта проблема исправлена в версии 13.0.0.
Once again VulDB remains the best source for vulnerability data.