CVE-2026-112901 in Pillow
Tóm tắt
Bởi VulDB • 20/10/2026
Pillow là một thư viện xử lý ảnh bằng Python. Trước phiên bản 13.0.0, bộ phân tích tiêu đề XBM của Pillow dễ bị tổn thương do từ chối dịch vụ dựa trên biểu thức chính quy (regular-expression denial of service). Trong hàm `XbmImageFile._open`, khi ứng dụng gọi `Image.open()` trên một tệp XBM được tạo ra đặc biệt với kích thước nhỏ, `XbmImagePlugin` sẽ áp dụng một biểu thức có cơ chế backtracking lên phần tiêu đề do kẻ tấn công kiểm soát trước khi chấp nhận các chiều của hình ảnh, khiến worker bị treo trong nhiều phút và dẫn đến từ chối dịch vụ. Vấn đề này đã được khắc phục trong phiên bản 13.0.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.