Më 20 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-8g5g-8vmr-9782 (CVE-2026-112403) për një dobësi me rrezikshmëri kritike (CVSS 9.2) në paketën Pillow të ekosistemit PyPI.
Paketat e prekura
- Pillow (PyPI) — versionet e prekura:
<= 12.3.0; versioni me rregullim:13.0.0
Detaje
- Rrezikshmëria: Kritike (CVSS 9.2)
- CWE: CWE-122 (Heap-based Buffer Overflow)
- Identifikuesit: GHSA-8g5g-8vmr-9782, CVE-2026-112403
Përmbledhja zyrtare (në anglisht)
Pillow: Heap buffer overflow in ImagingJpegDecode — Summary JpegImageFile.draft() — which Image.thumbnail() calls automatically — requests 1/2, 1/4 or 1/8 scaled JPEG output and shrinks self._size and the tile extents to match, so _setimage() allocates a single-row decode buffer of ceil(W/s) samples. ImagingJpegDecode() sets cinfo.scale_num / scale_denom , calls jpeg_start_decompress() , and then reads scanlines into that buffer without ever comparing cinfo.output_width , cinfo.output_height or cinfo.out_color_components against state- xsize , state- ysize and state- bits . libjpeg-turbo 3.x decodes lossless (SOF3) JPEG, but hardwires lossless streams to…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin Pillow, përditësojeni sa më shpejt në versionin 13.0.0 ose më të ri.
