Pillow — traitement quadratique des métadonnées EXIF de PNG

Veille sécuritéBackend & données

P3Élevée

Dans Pillow de 11.0.0 à avant 13.0.0, des en-têtes EXIF répétés dans un bloc eXIf PNG peuvent déclencher des copies successives de taille décroissante. Le travail quadratique qui en résulte peut ralentir fortement le traitement et provoquer un déni de service.

IdentifiantCVE-2026-96643

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif13.0.0

Source : CVE-2026-96643 — NVD

Analyse technique

Exif.load() recopie à répétition les données EXIF restantes si elles commencent par l’en-tête de six octets Exif; le bloc eXIf PNG n’est pas plafonné dans le scénario décrit.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-21 à 21:20:32.797Z, dans la période demandée; cet événement de publication est retenu.

ImpactConsommation disproportionnée de CPU lors de l’extraction EXIF, notamment via getexif() ou exif_transpose().

Versions affectéesPillow >= 11.0.0 et < 13.0.0

Version corrigée13.0.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.1

Publication2026-10-21T21:20:32.797Z

Mise à jour2026-10-21T21:20:32.797Z

Détection / vérification

Vérifier la version de Pillow et les chemins qui lisent les métadonnées EXIF de PNG non fiables, notamment les workflows de rotation automatique.

Action recommandée

Mettre à niveau Pillow vers 13.0.0 ou une version ultérieure; limiter l’extraction EXIF de PNG non fiables avec les versions affectées.

Sources

CVE-2026-96643 — NVD

Priorisation DFS : P3 · 1 source(s).