CVE-2026-112895

اسم البرنامج المصاب والإصدارات المتأثرة Pillow الإصدارات من 5.1.0 إلى 12.9.9

Description يمكن أن يتسبب Pillow في استنفاد موارد النظام أثناء تحليل ملف PDF موجود أثناء عملية الإلحاق. يقوم PdfParser بتتبع مراجع أبناء شجرة الصفحات دون تتبع الدورات أو التكرارات، ويتبع سلاسل المقطورات السابقة فقط من خلال حارس إزاحة مكرر بدقة. وبناءً على ذلك، يمكن أن تؤدي أشجار الصفحات العميقة أو الدورية وسلاسل طويلة من إزاحات المقطورة الفريدة إلى استنفاد مكدس Python. بالإضافة إلى ذلك، يمكن أن تؤدي مراجع /Kids المتكررة وغير الدورية إلى استهلاك فائق للـ CPU والذاكرة. يمكن للمهاجم تحفيز ذلك عن طريق تقديم ملف PDF مصمم خصيصاً إلى تطبيق يستدعي الدالة Image.save() مع تعيين المعلمة append على القيمة True. قد يؤدي ذلك إلى حدوث RecursionError غير معالج أو استهلاك مفرط للموارد، مما يؤدي إلى حجب الخدمة. تتعلق المشكلة تحديداً بالدالتين linearize page tree() و read prev trailer().

Recommendations تحديث Pillow إلى الإصدار 13.0.0. كإجراء مؤقت، تجنب استخدام المعلمة append في الدالة Image.save() عند معالجة ملفات PDF المقدمة من المستخدم.