Pillow — boucle infinie lors de la recherche d’un membre TAR

Veille sécuritéBackend & données

P3Élevée

Avant Pillow 13.0.0, un membre TAR dont la taille octale est négative peut faire revenir TarIO au même en-tête lors de sa recherche. Si le nom demandé ne correspond pas, l’analyse boucle indéfiniment et monopolise un cœur de processeur.

IdentifiantCVE-2026-96642

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif13.0.0

Source : CVE-2026-96642 — NVD

Analyse technique

L’initialisation de TarIO accepte une taille négative et calcule une recherche arrière qui ramène la lecture au même en-tête de 512 octets; le défaut concerne l’usage direct de TarIO, pas le chemin Image.open() par défaut.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-21 à 21:20:32.650Z, dans la période demandée; cet événement de publication est retenu.

ImpactDéni de service par boucle de lecture consommant un cœur de processeur.

Versions affectéesPillow antérieur à 13.0.0

Version corrigée13.0.0

ContournementNe pas appeler directement PIL.TarIO.TarIO sur des archives non fiables avec une version affectée.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.1

Publication2026-10-21T21:20:32.650Z

Mise à jour2026-10-21T21:20:32.650Z

Détection / vérification

Vérifier la version de Pillow et l’utilisation directe de PIL.TarIO.TarIO avec des archives non fiables.

Action recommandée

Mettre à niveau Pillow vers 13.0.0 ou une version ultérieure; en attendant, éviter l’usage direct de TarIO sur des archives non fiables.

Sources

CVE-2026-96642 — NVD

Priorisation DFS : P3 · 1 source(s).