Veille sécuritéBackend & données
P3Élevée
Le transfert de certaines balises TIFF vers libtiff peut entraîner une lecture de mémoire non initialisée ou une lecture à une adresse contrôlée, puis divulguer des données ou faire planter le processus lors de la réécriture d’images. Les versions jusqu’à 12.3.0 sont concernées ; mettre à jour vers Pillow 13.0.0.
Python
IdentifiantCVE-2026-112902
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif13.0.0
Source : GHSA-xvh5-g6gv-559v — Pillow
Analyse technique
L’encodeur choisit les arguments de `TIFFSetField()` en fonction des valeurs Python sans respecter nécessairement la signature attendue par la définition de champ de libtiff ; certaines balises conduisent à des lectures mémoire incorrectes.
Impact, versions et correctif
Événement datéAvis GitHub publié le 2026-10-21 à 21:29:16Z, dans la période demandée.
ImpactLa réécriture de balises forgées peut divulguer des données de mémoire du processus ou provoquer un plantage.
Versions affectées<= 12.3.0
Version corrigée13.0.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-10-21T21:29:16Z
Mise à jour2026-10-21T21:29:16Z
Action recommandée
Mettre à jour Pillow vers 13.0.0 et éviter de réenregistrer en TIFF des fichiers non fiables avec une version vulnérable.
Sources
Priorisation DFS : P3 · 1 source(s).