Veille sécuritéBackend & données
P3Élevée
Pillow accepte une image PPM ou PGM de largeur nulle; l’application de certaines opérations de morphologie peut alors indexer une position hors limites dans le code natif. Le résultat documenté est un plantage du processus et un risque de corruption mémoire.
Python
IdentifiantCVE-2026-112397
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif13.0.0
Analyse technique
Le code natif de `ImageMorph.MorphOp.apply()` accède à `outrow[width – 1]`; lorsque la largeur vaut zéro, cet accès est hors limites. L’avis mentionne également des motifs analogues dans `match()` et `get_on_pixels()`.
Impact, versions et correctif
Événement datéL’avis GHSA a été publié pendant la période demandée; cet événement de publication est retenu.
ImpactPlantage et possible corruption mémoire lors du traitement d’une image spécialement construite.
Versions affectéesPillow <= 12.3.0
Version corrigée13.0.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.7
EPSS0,44% · percentile 36,6%
Publication2026-10-20T20:56:22Z
Mise à jour2026-10-20T20:56:23Z
Action recommandée
Mettre à niveau vers Pillow 13.0.0 ou une version ultérieure; éviter d’appliquer des opérations de morphologie à des images de largeur nulle.
Sources
Priorisation DFS : P3 · 2 source(s).