6.9
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката може да се автоматизира
Описание
Оригинално описание
Pillow is a Python imaging library. From 5.4.0 until 13.0.0, Pillow performs quadratic copying while parsing GIF comments. GifImageFile._seek() repeatedly appends immutable bytes for comment sub-blocks and multiple comment extensions, and frame zero is parsed during Image.open(). An attacker can submit a small-dimension GIF containing many comment extensions to any application that opens the file. This can consume excessive CPU and deny service before the application can inspect the image. This issue is fixed in version 13.0.0.
Засегнати продукти
- python-pillow Pillow: >= 5.4.0, < 13.0.0
Вид слабост
История
- 19 октомври 2026 Публикувано
Други уязвимости в python-pillow Pillow
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-112401
- https://nvd.nist.gov/vuln/detail/CVE-2026-112401
- https://github.com/python-pillow/Pillow/security/advisories/GHSA-74r2-7ff9-mjj2
- https://github.com/python-pillow/Pillow/commit/68a3fe957d8a4d552e8c69d96066d749f0614c7e
- https://github.com/python-pillow/Pillow/releases/tag/13.0.0