CVE-2026-114501
Publiée le 2026-10-21 · Dernière modification le 2026-10-27
Pillow est une bibliothèque Python utilisée pour ouvrir, manipuler et enregistrer de nombreux formats de fichiers image. Les versions 11.2.1 à 13.0.0 contiennent une faille dans la fonction d'exportation Arrow liée à la manière dont les lignes d'image sont alignées en mémoire. Comme le logiciel suppose que les données de l'image sont compactées même en présence de remplissage (padding), il peut exporter des tampons mémoire contenant des données supplémentaires non initialisées.
Un attaquant peut exploiter cela pour faire fuiter de petites quantités d'informations sensibles, telles que des fragments d'images d'autres utilisateurs ou d'anciennes données de mémoire de processus, compromettant ainsi la confidentialité. Cela nécessite un accès réseau à une application qui exporte des images vers Arrow et est relativement facile à exécuter. Aucune authentification ni interaction de l'utilisateur n'est requise pour déclencher la fuite.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Pillow is a Python imaging library. From 11.2.1 until 13.0.0, Arrow export assumes that an image's rows are tightly contiguous and exports from im->blocks[0].ptr even when PILLOW_ALIGNMENT makes aligned_linesize include row padding or an aligned offset before the first row. The resulting Arrow buffer can include uninitialized padding, bytes preceding the first row, or stale heap contents from previously freed images. Applications that configure alignment and export images to Arrow can therefore disclose one user's pixels or other process memory to another user. This issue is fixed in version 13.0.0.