PT-2026-58090 · Pypi · Pillow

Publicado 2026-07-14 · Atualizado 2026-07-14 · CVE-2026-59199

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas Pillow versões anteriores a 12.3.0

Description APIs de coordenadas de imagem públicas na biblioteca de imagens Python Pillow podem desencadear uma gravação fora dos limites do heap nativo. Isso ocorre quando coordenadas próximas aos limites de inteiros de 32 bits com sinal são fornecidas às funções Image.paste(), Image.crop() ou Image.alpha composite().

Recommendations Atualize para a versão 12.3.0. Como mitigação temporária, evite fornecer coordenadas próximas aos limites de inteiros de 32 bits com sinal para as funções Image.paste(), Image.crop() e Image.alpha composite().

Exploit

Correção

Integer Overflow

Memory Corruption

Enumeração de Fraquezas

CWE-190

CWE-787

Identificadores relacionados

CVE-2026-59199

GHSA-6R8X-57C9-28J4

Produtos afetados

Pillow

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/59xxx/CVE-2026-59199.json · Exploit
• https://github.com/python-pillow/Pillow/commit/ceefc348eb3c3844c7f9796ef2cc3a7dd5fbba7b · Correção
• https://github.com/python-pillow/Pillow/releases/tag/12.3.0 · Nota
• https://github.com/python-pillow/Pillow/pull/9703 · Correção
• https://github.com/python-pillow/Pillow/security/advisories/GHSA-6r8x-57c9-28j4 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-59199 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-59199 · Aviso do Fabricante