Pillow — contournement du contrôle de bombes de décompression dans les images SPIDER

Veille sécuritéBackend & données

P3Élevée

Pillow avant 13.0.0 ne relance pas le contrôle de bombes de décompression lorsqu’un accès à une image SPIDER ultérieure remplace les dimensions de l’image. Un fichier spécialement construit peut ainsi provoquer une consommation mémoire très importante et un déni de service.

IdentifiantCVE-2026-96637

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif13.0.0

Source : CVE-2026-96637 — NVD

Analyse technique

SpiderImageFile.seek() reparsait les dimensions d’une trame ultérieure sans appeler Image._decompression_bomb_check(); une trame de mode F peut entraîner l’allocation d’environ quatre octets par pixel déclaré.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-21 à 21:20:31.927Z, dans la période demandée; cet événement de publication est retenu.

ImpactDéni de service par épuisement de la mémoire lors du chargement d’une trame construite pour déclarer de très grandes dimensions.

Versions affectéesPillow antérieur à 13.0.0

Version corrigée13.0.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.1

Publication2026-10-21T21:20:31.927Z

Mise à jour2026-10-21T21:20:31.927Z

Détection / vérification

Identifier la version de Pillow et examiner les usages de fichiers SPIDER fournis ou contrôlés par des tiers, notamment l’accès à des images ultérieures de mode F.

Action recommandée

Mettre à niveau Pillow vers 13.0.0 ou une version ultérieure; éviter de traiter des fichiers SPIDER non fiables avec les versions affectées.

Sources

CVE-2026-96637 — NVD

Priorisation DFS : P3 · 1 source(s).