PT-2026-32580 · Pypi · Pillow

Publicado 2024-03-25 · Atualizado 2026-05-22 · CVE-2026-40192

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Name of the Vulnerable Software and Affected Versions Pillow versões 10.3.0 até 12.1.1

Description A falta de limites na quantidade de dados compactados com GZIP lidos ao decodificar uma imagem FITS permite ataques de bomba de descompressão. Um arquivo FITS especialmente criado pode causar consumo ilimitado de memória, resultando em negação de serviço por meio de um travamento OOM (Out of Memory) ou degradação severa do desempenho.

Recommendations Atualizar para a versão 12.2.0. Como solução temporária, abra apenas formatos de imagem específicos, excluindo FITS.

Correção

DoS

Allocation of Resources Without Limits

Resource Exhaustion

Enumeração de Fraquezas

CWE-770

CWE-400

Identificadores relacionados

BDU:2026-05627

BIT-PILLOW-2026-40192

CVE-2026-40192

ECHO-1C52-724C-58AD

GHSA-WHJ4-6X5X-4V2J

OESA-2026-2064

OESA-2026-2065

OESA-2026-2066

OPENSUSE-SU-2026:10575-1

OPENSUSE-SU-2026:20617-1

USN-8211-1

Produtos afetados

Pillow

Referências · 34

• https://github.com/python-pillow/Pillow/pull/9521 · Correção
• https://github.com/python-pillow/Pillow/security/advisories/GHSA-whj4-6x5x-4v2j · Aviso do Fabricante
• https://github.com/python-pillow/Pillow/commit/3cb854e8b2bab43f40e342e665f9340d861aa628 · Correção
• https://github.com/python-pillow/Pillow · Nota
• https://github.com/python-pillow/Pillow/commit/142473c7b43a72b5dba534a26cb614b5b207ada5 · Nota
• https://osv.dev/vulnerability/OESA-2026-2066 · Aviso do Fabricante
• https://osv.dev/vulnerability/openSUSE-SU-2026:10575-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/USN-8211-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-whj4-6x5x-4v2j · Aviso do Fabricante
• https://openeuler.org/zh/security/security-bulletins/detail/?id=openEuler-SA-2026-2064 · Nota
• https://pillow.readthedocs.io/en/stable/releasenotes/12.2.0.html#prevent-fits-decompression-bomb · Nota
• https://osv.dev/vulnerability/ROOT-APP-PYPI-CVE-2026-40192 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-40192 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-40192 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2044701604381925625 · Publicação no Twitter