PT-2026-117674
CVE-2026-112892
·
تاريخ النشر
2026-10-19
·
تاريخ التحديث
2026-11-02
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
Pillow الإصدارات 4.1.0 through 12.11.0
Description
يسمح فك ترميز MSP RLE في مكتبة الصور Pillow بتوسيع ملف صغير إلى ذاكرة مؤقتة غير محدودة في الذاكرة. يحدث هذا لأن فك الترميز يكتب مخرجات طول التشغيل إلى
BytesIO دون تقييد التوسيع بحجم الصورة المعلن. يمكن للمهاجم تقديم صورة MSP مصممة خصيصاً إلى تطبيق يقوم بتحميل بكسلاتها، مما يؤدي إلى استنفاد الذاكرة وتعطيل الخدمة، حتى عندما تجتاز عدد البكسلات المعلنة فحص قنبلة فك الضغط (وهي آلية أمنية مصممة لمنع استنفاد الموارد من الصور الكبيرة جداً).Recommendations
التحديث إلى الإصدار 13.0.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾