Veille sécuritéBackend & données
P3Élevée
Un cycle dans la chaîne `/Parent` de l’arbre de pages d’un PDF peut bloquer indéfiniment Pillow lorsqu’une image est ajoutée à ce PDF. Les versions à partir de 5.1.0 et antérieures à 13.0.0 sont concernées sur le chemin `append=True` ; la version 13.0.0 corrige le problème.
Python
IdentifiantCVE-2026-112406
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif13.0.0
Source : GHSA-f2g6-542v-9j58 — Pillow
Analyse technique
`PdfParser.rewrite_pages()` suit les références `/Parent` sans mémoriser les nœuds déjà visités ; un cycle empêche la boucle de se terminer.
Impact, versions et correctif
Événement datéAvis GitHub publié le 2026-10-21 à 21:21:07Z, dans la période demandée.
ImpactLe traitement d’un PDF malveillant peut consommer un cœur CPU sans fin et bloquer le worker.
Versions affectées>= 5.1.0, < 13.0.0
Version corrigée13.0.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,29% · percentile 20,5%
Publication2026-10-21T21:21:07Z
Mise à jour2026-10-21T21:21:09Z
Action recommandée
Mettre à jour Pillow vers 13.0.0 et ne pas utiliser le chemin d’ajout PDF avec des documents non fiables sur les versions vulnérables.
Sources
Priorisation DFS : P3 · 1 source(s).