CVE-2026-112405

Nome do Software Vulnerável e Versões Afetadas Pillow versões 12.0.0 through 12.x

Description A função Image.merge() pode desreferenciar um plano image8 nulo porque a validação ignora a primeira banda de entrada. Isso permite que uma imagem de ponto flutuante ou inteiro de 32 bits, suportada por armazenamento image32, seja mesclada como uma imagem multibanda mais estreita. Um travamento do processo nativo pode ocorrer se um chamador invocar Image.merge() diretamente com tal primeira banda ou se um aplicativo abrir e carregar um arquivo IPTC manipulado.

Recommendations Atualize para a versão 13.0.0.