Pillow — divulgation de mémoire lors de l’export Arrow

Veille sécuritéBackend & données

P4Moyenne

L’export Arrow de Pillow peut inclure des octets non initialisés ou issus de mémoire résiduelle lorsque l’alignement des lignes ajoute du remplissage ou un décalage avant la première ligne. Dans les applications concernées, cela peut divulguer des pixels ou d’autres données du processus; le correctif est inclus dans Pillow 13.0.0.

IdentifiantCVE-2026-114501

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif13.0.0

Source : NVD — CVE-2026-114501

Analyse technique

Avec PILLOW_ALIGNMENT, l’export Arrow part de im->blocks[0].ptr sans tenir compte du remplissage des lignes ni d’un éventuel décalage initial, ce qui peut exposer des octets hors des pixels de l’image.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée le 2026-10-21, avant la période. L’événement retenu est sa mise à jour du 2026-10-22T16:46:48.920Z, qui détaille substantiellement les conditions et les conséquences de la divulgation; ce n’est pas une simple modification administrative.

ImpactDivulgation potentielle de pixels d’autres utilisateurs ou d’autres données mémoire du processus.

Versions affectéesPillow 11.2.1 à versions antérieures à 13.0.0

Version corrigée13.0.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.3

EPSS0,38% · percentile 31,2%

Publication2026-10-21T22:16:49.410Z

Mise à jour2026-10-22T16:46:48.920Z

Action recommandée

Mettre à niveau Pillow vers la version 13.0.0 ou ultérieure, en particulier si l’application configure PILLOW_ALIGNMENT et exporte des images au format Arrow.

Sources

NVD — CVE-2026-114501

Priorisation DFS : P4 · 1 source(s).