PT-2026-120832
CVE-2026-96637
·
تاريخ النشر
2026-10-21
·
تاريخ التحديث
2026-11-02
الوصف من
CVSS 4.0
7.1
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
Pillow الإصدارات السابقة لـ 13.0.0
الوصف
تقوم الدالة
SpiderImageFile.seek() في src/PIL/SpiderImagePlugin.py بإعادة تحليل إطار مكدس SPIDER لاحق واستبدال self. size دون إعادة تشغيل الدالة Image. decompression bomb check(). يسمح هذا لملف صغير بتجاوز فحص Image.open() الأولي باستخدام إطار أول آمن، ثم التصريح عن أبعاد كبيرة جدًا في إطار وضع F لاحق. يمكن أن يؤدي تحميل هذا الإطار إلى تخصيص حوالي أربعة بايت لكل بكسل يحدده المهاجم، مما قد يستهلك عدة جيجابايت من الذاكرة.التوصيات
التحديث إلى الإصدار 13.0.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾