La réservation répétée d’identifiants d’objets dans le générateur PDF de Pillow entraîne un coût CPU quadratique lors de la conversion d’images animées en PDF multipage. Les versions à partir de 5.1.0 et antérieures à 13.0.0 sont concernées lorsque l’application utilise `save_all=True` ; mettre à jour vers 13.0.0.
Source : GHSA-jg86-v3jv-hrpm — Pillow
Analyse technique
`next_object_id()` recalcule le maximum en parcourant les identifiants déjà réservés ; cette opération répétée pour chaque image rend le coût de réservation O(N²). Le nombre de frames déclaré peut suffire à déclencher le délai avant toute écriture de page.
Impact, versions et correctif
Action recommandée
Mettre à jour Pillow vers 13.0.0 et éviter de convertir des images animées non fiables en PDF avec `save_all=True` sur une version vulnérable.
Sources
Priorisation DFS : P3 · 1 source(s).