CVE-2026-55380
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
W bibliotece Pillow przed wersją 12.3.0 w pliku GdImageFile.py metoda _open() odczytywała wymiary obrazu z nagłówka GD 2.x bez wywołania Image._decompression_bomb_check(), co pozwalało na załadowanie spreparowanego pliku .gd powodującego nadmierną alokację pamięci sterty C.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wyczerpania pamięci procesu, prowadząc do odmowy usługi (DoS) w aplikacjach używających Pillow do przetwarzania obrazów.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę Pillow do wersji 12.3.0 lub nowszej, która zawiera poprawkę zapobiegającą pomijaniu kontroli bomby dekompresyjnej.
Oryginalny opis (angielski, źródło NVD)
Pillow is a Python imaging library. Prior to 12.3.0, PIL/GdImageFile.py GdImageFile._open() read image dimensions from the GD 2.x header and stored them in self._size without calling Image._decompression_bomb_check(), allowing a crafted .gd file to trigger excessive C-heap allocation when loaded. This issue is fixed in version 12.3.0.