5.5
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката може да се автоматизира
Описание
Оригинално описание
pillow_heif is a Python library for working with HEIF images and plugin for Pillow. Prior to version 1.3.0, an integer overflow in the encode path buffer validation of `_pillow_heif.c` allows an attacker to bypass bounds checks by providing large image dimensions, resulting in a heap out-of-bounds read. This can lead to information disclosure (server heap memory leaking into encoded images) or denial of service (process crash). No special configuration is required — this triggers under default settings. Version 1.3.0 fixes the issue.
Засегнати продукти
- bigcat88 pillow_heif: < 1.3.0
Вид слабост
История
- 27 февруари 2026 Публикувано
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-28231
- https://nvd.nist.gov/vuln/detail/CVE-2026-28231
- https://github.com/bigcat88/pillow_heif/security/advisories/GHSA-5gjj-6r7v-ph3x
- https://github.com/bigcat88/pillow_heif/commit/8305a15d3780c533b762578cbe987d27a2c59c7a
- https://github.com/bigcat88/pillow_heif/releases/tag/v1.3.0