Veille sécuritéBackend & données
P4Moyenne
Dans Pillow, le parcours de certaines images MPO ou DCX à plusieurs trames peut décoder une trame dépassant la limite de taille sans refaire le contrôle de décompression. Les versions antérieures à 13.0.0 sont concernées ; mettez à niveau vers 13.0.0 ou une version ultérieure.
Python
IdentifiantCVE-2026-96636
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif13.0.0
Source : NVD — CVE-2026-96636
Analyse technique
Les méthodes MpoImageFile.seek() et DcxImageFile.seek() remplacent la taille de l’image sans relancer le contrôle Image._decompression_bomb_check(). Une image spécialement conçue peut faire décoder une trame volumineuse lors de seek(), load() ou de l’itération des trames.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-21T23:20:31.760+02:00, dans la période retenue.
ImpactDéni de service par épuisement de la mémoire lors du décodage d’une image.
Versions affectéesPillow < 13.0.0
Version corrigée13.0.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
Publication2026-10-21T21:20:31.760Z
Mise à jour2026-10-21T21:20:31.760Z
Action recommandée
Mettre à niveau Pillow vers la version 13.0.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).