PT-2026-7584 · Pillow+1 · Pillow+1

Yardenporat353 · Publicado 2026-02-11 · Atualizado 2026-05-22 · CVE-2026-25990

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do Software Vulnerável e Versões Afetadas Versões do Pillow de 10.3.0 a 12.1.0

Descrição O Pillow é uma biblioteca de imagens para Python. Um problema de escrita fora dos limites pode ocorrer ao carregar uma imagem PSD especialmente criada. Esta falha existe no manipulador de Documentos do Photoshop (PSD) do Pillow. O problema afeta as versões do Pillow 10.3.0 e posteriores.

Recomendações Atualize para a versão 12.1.1 do Pillow. Como solução alternativa, use o parâmetro formats em Image.open() para impedir que imagens PSD sejam abertas.

Exploit

Correção

DoS

Memory Corruption

Enumeração de Fraquezas

CWE-787

Identificadores relacionados

BDU:2026-05702

BIT-PILLOW-2026-25990

CVE-2026-25990

GHSA-CFH3-3JMP-RVHC

OPENSUSE-SU-2026:10198-1

OPENSUSE-SU-2026:20458-1

RHSA-2026:14873

RHSA-2026:14874

RHSA-2026:6277

RHSA-2026:6278

SUSE-SU-2026:20992-1

USN-8047-1

Produtos afetados

Pillow

Red Os

Referências · 42

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/25xxx/CVE-2026-25990.json · Exploit
• https://github.com/python-pillow/Pillow/commit/9000313cc5d4a31bdcdd6d7f0781101abab553aa · Correção
• https://github.com/python-pillow/Pillow/security/advisories/GHSA-cfh3-3jmp-rvhc · Aviso do Fabricante
• https://github.com/python-pillow/Pillow · Nota
• https://github.com/python-pillow/Pillow/pull/9427 · Nota
• https://github.com/python-pillow/Pillow/commit/54ba4db542ad3c7b918812a4e2d69c27735a3199 · Nota
• https://osv.dev/vulnerability/CVE-2026-25990 · Aviso do Fabricante
• https://twitter.com/pulsepatchio/status/2023774354740269079 · Publicação no Twitter
• https://osv.dev/vulnerability/SUSE-SU-2026:20992-1 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2026-25990 · Nota
• https://reddit.com/r/AgentZero/comments/1s4m9gy/devs_close_your_security_holes_this_app_is · Publicação no Reddit
• http://openwall.com/lists/oss-security/2026/02/12/1 · Correção
• https://osv.dev/vulnerability/GHSA-cfh3-3jmp-rvhc · Aviso do Fabricante
• https://twitter.com/oss_security/status/2023167941496172747 · Publicação no Twitter
• https://redos.red-soft.ru/search/?iblock_id=24&q=CVE-2026-25990 · Nota