Veille sécuritéBackend & données
P4Moyenne
Pillow présente une vulnérabilité de déni de service par épuisement du processeur dans le traitement XBM : un fichier de 512 octets spécialement formé peut ralentir `Image.open()` pendant plusieurs minutes. Les versions jusqu’à 12.3.0 sont concernées ; mettre à jour vers Pillow 13.0.0, ou exclure le format XBM de la liste `formats=` en attendant.
Python
IdentifiantCVE-2026-112901
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif13.0.0
Source : GHSA-xgh8-jp6q-p5x8 — Pillow
Analyse technique
La regex `xbm_head` du module XbmImagePlugin présente un retour arrière excessif lors de l’analyse des 512 premiers octets ; l’échec de reconnaissance entraîne un coût CPU très élevé.
Impact, versions et correctif
Événement datéAvis GitHub publié le 2026-10-21 à 20:45:06Z, dans la période demandée.
ImpactUn attaquant pouvant fournir une image à ouvrir peut monopoliser un cœur CPU pendant plusieurs minutes et ralentir ou bloquer les processus de traitement.
Versions affectées<= 12.3.0
Version corrigée13.0.0
ContournementPasser à `Image.open()` une liste `formats=` excluant XBM.
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,29% · percentile 20,5%
Publication2026-10-21T20:45:06Z
Mise à jour2026-10-21T20:45:07Z
Action recommandée
Mettre à jour Pillow vers 13.0.0 ; à défaut, désactiver la prise en charge de XBM pour les entrées non fiables.
Sources
Priorisation DFS : P4 · 1 source(s).