Veille sécuritéBackend & données
P4Moyenne
Le garde-fou de profondeur récursive de `PdfParser.get_value()` est inopérant, ce qui permet à un PDF spécialement construit de provoquer une `RecursionError` non interceptée. Le chemin concerné est l’ajout d’une image à un PDF existant avec `append=True` ; les versions de Pillow à partir de 5.1.0 et antérieures à 13.0.0 sont touchées, et la mise à jour vers 13.0.0 corrige le problème.
Python
IdentifiantCVE-2026-112391
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif13.0.0
Source : GHSA-254f-3936-288h — Pillow
Analyse technique
La valeur par défaut `max_nesting=-1` est décrémentée à chaque appel récursif ; la condition de limite `max_nesting == 0` n’est donc jamais atteinte.
Impact, versions et correctif
Événement datéAvis GitHub publié le 2026-10-21 à 21:11:07Z, dans la période demandée.
ImpactUn PDF contrôlé par un attaquant peut faire échouer par exception une opération d’ajout de page et interrompre la requête concernée.
Versions affectées>= 5.1.0, < 13.0.0
Version corrigée13.0.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,29% · percentile 20,5%
Publication2026-10-21T21:11:07Z
Mise à jour2026-10-21T21:11:08Z
Action recommandée
Mettre à jour Pillow vers 13.0.0, en particulier pour les applications qui ajoutent des pages à des PDF non fiables.
Sources
Priorisation DFS : P4 · 1 source(s).