Pillow — consommation excessive de CPU lors de l’ajout de pages à un PDF

Veille sécuritéBackend & données

P3Élevée

Dans Pillow de 5.1.0 à avant 13.0.0, l’ajout de pages à certains PDF peut développer de manière exponentielle un graphe /Pages qui contient des références répétées. Le traitement peut alors consommer un temps processeur disproportionné et provoquer un déni de service.

IdentifiantCVE-2026-96640

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif13.0.0

Source : CVE-2026-96640 — NVD

Analyse technique

PdfParser.linearize_page_tree() traite le graphe /Pages comme un arbre et ne suit pas les références indirectes dupliquées; des sous-arbres partagés sont alors développés plusieurs fois.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-21 à 21:20:32.357Z, dans la période demandée; cet événement de publication est retenu.

ImpactDéni de service par consommation excessive de CPU pendant l’ajout de pages à un PDF malformé.

Versions affectéesPillow >= 5.1.0 et < 13.0.0

Version corrigée13.0.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.2

Publication2026-10-21T21:20:32.357Z

Mise à jour2026-10-21T21:20:32.357Z

Détection / vérification

Contrôler la version de Pillow et l’usage de Image.save(…, format="PDF", append=True) sur des PDF existants non fiables.

Action recommandée

Mettre à niveau Pillow vers 13.0.0 ou une version ultérieure; ne pas ajouter de pages à des PDF non fiables avec les versions affectées.

Sources

CVE-2026-96640 — NVD

Priorisation DFS : P3 · 1 source(s).