CVE-2026-112901
Publiée le 2026-10-19 · Dernière modification le 2026-10-27
Pillow est une bibliothèque Python populaire utilisée pour ouvrir, manipuler et enregistrer de nombreux formats de fichiers image. Les versions antérieures à 13.0.0 contiennent une faille dans la manière dont la bibliothèque analyse les en-têtes des fichiers XBM (X BitMap). Lors du traitement d'un fichier XBM spécialement conçu, l'analyseur utilise une expression régulière qui déclenche un retour en arrière (backtracking) excessif, provoquant le blocage du processeur.
Un attaquant peut exploiter cela pour provoquer un déni de service en immobilisant le processus de l'application pendant plusieurs minutes, rendant ainsi le service indisponible pour les autres utilisateurs. Cela ne nécessite ni authentification ni interaction de l'utilisateur et peut être déclenché à distance en téléchargeant ou en fournissant simplement un petit fichier image malveillant. La confidentialité et l'intégrité ne sont pas affectées, car la faille n'impacte que la disponibilité du système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Pillow is a Python imaging library. Prior to 13.0.0, Pillow's XBM header parser is vulnerable to regular-expression denial of service. In XbmImageFile._open, when an application calls Image.open() on a small crafted XBM file, XbmImagePlugin applies a backtracking expression to the attacker-controlled header before image dimensions are accepted, stalling a worker for minutes and denying service. This issue is fixed in version 13.0.0.