PT-2026-37200 · Pypi+1 · Pillow+1

Ethankim88 · Publicado 2026-05-04 · Atualizado 2026-06-08 · CVE-2026-42311

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.6

Alta

Vetor base

AV:L/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Pillow versões 10.3.0 até 12.1.x

Descrição O processamento de um arquivo PSD malicioso pode levar à corrupção de memória, resultando potencialmente em um travamento ou na execução de código arbitrário. Isso ocorre porque as verificações de limites para as extensões de blocos (tiles) na decodificação e codificação de imagens PSD utilizavam tipos suscetíveis a estouro de inteiro (integer overflow). Uma imagem PSD com dimensões de bloco cuidadosamente elaboradas poderia fazer com que os valores sofressem wrap around, ignorando as verificações e desencadeando uma gravação fora dos limites (out-of-bounds write) nos arquivos src/decode.c e src/encode.c.

Recomendações Atualizar para a versão 12.2.0.

Correção

Memory Corruption

Integer Overflow

Enumeração de Fraquezas

CWE-787

CWE-190

Identificadores relacionados

BIT-PILLOW-2026-42311

CVE-2026-42311

ECHO-4895-DA6A-8B1F

GHSA-PWV6-VV43-88GR

OESA-2026-2428

OESA-2026-2429

USN-8399-1

Produtos afetados

Pillow

Ubuntu

Referências · 27

• https://github.com/python-pillow/Pillow/pull/9520 · Correção
• https://github.com/python-pillow/Pillow/security/advisories/GHSA-pwv6-vv43-88gr · Aviso do Fabricante
• https://github.com/python-pillow/Pillow/commit/58f9a1d166dcb0c274807d4423522d205b0c35ea · Correção
• https://github.com/python-pillow/Pillow/releases/tag/12.2.0 · Nota
• https://github.com/python-pillow/Pillow/security/advisories/GHSA-cfh3-3jmp-rvhc · Nota
• https://github.com/python-pillow/Pillow · Nota
• https://osv.dev/vulnerability/OESA-2026-2428 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-42311 · Aviso do Fabricante
• https://osv.dev/vulnerability/OESA-2026-2429 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2053131380725530870 · Publicação no Twitter
• https://ubuntu.com/security/CVE-2026-42308 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-42310 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-42311 · Aviso do Fabricante
• https://openeuler.org/zh/security/security-bulletins/detail/?id=openEuler-SA-2026-2429 · Nota
• https://osv.dev/vulnerability/GHSA-pwv6-vv43-88gr · Aviso do Fabricante