CVE-2026-112390
Vulnérabilité élevée dans Pillow (python-pillow)
CVSS 8.2 · Élevée
python-pillow•Pillow•Versions : >= 7.2.0, < 13.0.0
Description
Pillow is a Python imaging library. From 7.2.0 until 13.0.0, Pillow can enter an infinite loop while determining the frame count of a MIC image. MicImageFile inherits TIFF frame traversal, but MicImageFile.tell reports the OLE stream index and its seek() resets TIFF frame state, so an embedded TIFF with at least three IFDs never advances. When an application with olefile installed reads n_frames or saves all frames from a crafted MIC file, the non-advancing traversal can hold a worker at full CPU indefinitely. This issue is fixed in version 13.0.0.
Gravité et risque d'exploitation
CVE-2026-112390 obtient un score CVSS de 8.2/10, soit une gravité élevée.
Que faire ?
- Vérifiez si Pillow (versions >= 7.2.0, < 13.0.0) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.