CVE-2026-112397 in Pillow

摘要

由 VulDB • 2026-10-20

Pillow 是一个 Python 图像处理库。在版本 13.0.0 之前，Pillow 的 ImageMorph.MorphOp.apply() 方法可以访问零宽度图像的行缓冲区之前的内存。PPM 和 PGM 输入可以创建宽度为零的图像，而原生形态学例程会索引 outrow[width - 1]，且未拒绝该几何结构。攻击者可以向应用了形态学操作的应用程序提供此类图像。这可能导致进程崩溃。此问题已在版本 13.0.0 中修复。

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

• 负责: GitHub M
• 预定: 2026-10-19
• 披露: 2026-10-20
• 管理: 已接受
• 条目: VDB-422561
• CPE: 20261020
• CWE: CWE-120 (已确认)
• CVSS: 5.5 (VulDB)
• EPSS: 0.00000
• KEV: 否
• 活动: 非常低
• 部门: Energy, Education, ...

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-112397
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-112397
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-112397/