Veille sécuritéBackend & données
P3Critique
Pillow avant 13.0.0 peut écrire au-delà du tampon alloué pour une tuile JPEG FlashPix dans certaines conditions de décodage. Mettre à niveau vers Pillow 13.0.0 ou une version ultérieure; le scénario décrit implique notamment la dépendance optionnelle olefile.
Python
IdentifiantCVE-2026-112398
GravitéCritique
Exploitationnon connue / non déterminée
Correctif13.0.0
Source : NVD — CVE-2026-112398
Analyse technique
Un fichier FlashPix OLE2 spécialement construit peut conduire le décodeur à écrire des scanlines à quatre composantes dans un tampon prévu pour deux octets par pixel.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-19 à 22:17:07.107Z, soit le 2026-10-20 à 00:17:07.107+02:00, dans la période. Sa mise à jour NVD est horodatée le 2026-10-20 à 21:48:50.250+02:00.
ImpactCorruption du tas et possibilité d’exécution de code.
Versions affectéesVersions antérieures à 13.0.0
Version corrigée13.0.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.2
EPSS0,32% · percentile 23,7%
Publication2026-10-20T00:17:07.107+02:00
Mise à jour2026-10-20T21:48:50.250+02:00
Action recommandée
Mettre à niveau vers Pillow 13.0.0 ou une version ultérieure; évaluer l’exposition des applications qui ouvrent des fichiers non fiables avec olefile installé.
Sources
Priorisation DFS : P3 · 1 source(s).