Më 22 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-v9pv-5gc8-w2m6 (CVE-2026-96639) për një dobësi me rrezikshmëri kritike (CVSS 9.8) në paketën Pillow të ekosistemit PyPI.
Paketat e prekura
- Pillow (PyPI) — versionet e prekura:
>= 11.0.0, < 13.0.0; versioni me rregullim:13.0.0
Detaje
- Rrezikshmëria: Kritike (CVSS 9.8)
- CWE: CWE-125 (Out-of-bounds Read), CWE-787 (Out-of-bounds Write)
- Identifikuesit: GHSA-v9pv-5gc8-w2m6, CVE-2026-96639
Përmbledhja zyrtare (në anglisht)
Pillow multi-frame loaders can reuse stale native image storage after mode transitions — Summary Pillow multi-frame image loaders can retain native ImagingCore storage allocated for one frame while changing the Python-side image mode and decoder tiles for a later frame. If frame 0 allocates storage for a narrow mode such as L , and a later frame of the same dimensions switches to a wider mode such as RGB or CMYK , Pillow may decode wider pixels into the stale narrow native buffer. This causes native out-of-bounds writes and process crashes. In the…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin Pillow, përditësojeni sa më shpejt në versionin 13.0.0 ose më të ri.
