CVE-2026-54060
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
W bibliotece Pillow przed wersją 12.3.0 funkcja FontFile.compile() nie wywołuje Image._decompression_bomb_check(), co pozwala na nadmierną alokację pamięci podczas konwersji lub zapisu czcionki.
Ocena ryzyka
Atakujący może dostarczyć specjalnie spreparowaną czcionkę, która spowoduje wyczerpanie pamięci (out-of-memory) i potencjalnie przerwanie działania aplikacji.
Rekomendacja
Należy zaktualizować bibliotekę Pillow do wersji 12.3.0 lub nowszej, która zawiera poprawkę zapobiegającą tej podatności.
Oryginalny opis (angielski, źródło NVD)
Pillow is a Python imaging library. Prior to 12.3.0, PIL/FontFile.py FontFile.compile() assembled per-glyph images into a combined bitmap with Image.new("1", (xsize, ysize)) without calling Image._decompression_bomb_check(), allowing a font to trigger excessive allocation during conversion or saving. This issue is fixed in version 12.3.0.