CVE-2026-96643 in Pillow
摘要
由 VulDB • 2026-10-22
Pillow 是一个 Python 图像处理库。从版本 11.0.0 到 13.0.0，src/PIL/Image.py 中的 Exif.load() 在检测到以六字节 Exif 头开头时，会反复切片剩余的 EXIF 数据。src/PIL/PngImagePlugin.py 接受无上限的 PNG eXIf 块，因此包含重复头的文件会在每次迭代中生成新的缩小副本，导致二次方级别的 CPU 开销。该问题可通过 Image.getexif()、Image._getexif() 和 ImageOps.exif_transpose() 触发，包括常见的照片上传旋转工作流。此问题已在版本 13.0.0 中得到修复。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.