CVE-2026-112893
Vulnérabilité élevée dans Pillow (python-pillow)
CVSS 8.2 · Élevée
python-pillow•Pillow•Versions : >= 10.0.0, < 13.0.0
Description
Pillow is a Python imaging library. From 10.0.0 until 13.0.0, Pillow can free an invalid glyph pointer during FreeType rendering with an active stroker. If FT_Load_Glyph fails, cleanup may call FT_Done_Glyph on an uninitialized or stale glyph variable. An attacker can supply a malformed font as untrusted bytes to an application that draws text with a nonzero stroke width, forcing the glyph-load failure path. This can corrupt memory or crash the process. This issue is fixed in version 13.0.0.
Gravité et risque d'exploitation
CVE-2026-112893 obtient un score CVSS de 8.2/10, soit une gravité élevée.
Que faire ?
- Vérifiez si Pillow (versions >= 10.0.0, < 13.0.0) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.