CVE-2026-112892

Nome do Software Vulnerável e Versões Afetadas Pillow versões 4.1.0 through 12.11.0

Description O decodificador MSP RLE na biblioteca de imagens Pillow permite que um arquivo pequeno seja expandido em um buffer de memória ilimitado. Isso ocorre porque o decodificador grava a saída de comprimento de execução no BytesIO sem limitar a expansão ao tamanho de imagem declarado. Um invasor pode fornecer uma imagem MSP especialmente criada para um aplicativo que carrega seus pixels, levando ao esgotamento da memória e a uma negação de serviço, mesmo que a contagem de pixels declarada passe na verificação de bomba de descompressão (um mecanismo de segurança projetado para evitar o esgotamento de recursos de imagens excessivamente grandes).

Recommendations Atualize para a versão 13.0.0.