p PatchFirst

CVE-2026-40192

CVE-2026-40192 · Pillow is vulnerable to a FITS GZIP decompression bomb

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Diese Seite zeigt ausgewählte Angaben aus den Quellen. Die vollständige Beschreibung und betroffene Versionen finden Sie in den verlinkten Sicherheitshinweisen.

Pillow is a Python imaging library. Versions 10.3.0 through 12.1.1 did not limit the amount of GZIP-compressed data read when decoding a FITS image, making them vulnerable to decompression bomb attacks. A specially crafted FITS file could cause unbounded memory consumption, leading to denial of service (OOM crash or severe performance degradation). If users are unable to immediately upgrade, they should only open specific image formats, excluding FITS, as a workaround.

CVSS 8.7 · Hoch · EPSS 0,7% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: system · python

Betroffene Produkte und Versionen

  • pillow

    Softwareversionen
    • >= 10.3.0, < 12.2.0: Betroffen

    Keine Korrektur veröffentlicht

  • pillow Debian:13

    Softwareversionen
    • 11.1.0-5
    • 11.1.0-5+deb13u1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 11.1.0-5+deb13u2

    Auf 11.1.0-5+deb13u2 aktualisieren

  • pillow Debian:14

    Softwareversionen
    • 11.1.0-5
    • 11.2.1-1
    • 11.3.0-1
    • 12.0.0-1
    • 12.1.0-1
    • 12.1.1-1
    • 12.1.1-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 12.2.0-1

    Auf 12.2.0-1 aktualisieren

  • pillow PyPI

    Softwareversionen
    • 10.3.0
    • 10.4.0
    • 11.0.0
    • 11.1.0
    • 11.2.1
    • 11.3.0
    • 12.0.0
    • 12.1.0
    • 12.1.1
    Betroffene Versionsbereiche
    • ECOSYSTEM: ≥ 10.3.0, < 12.2.0

    Auf 12.2.0 aktualisieren

  • pillow Ubuntu:25.10

    Softwareversionen
    • 11.1.0-5build1
    • 11.3.0-1ubuntu1
    • 11.3.0-1ubuntu1.1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 11.3.0-1ubuntu1.2

    Auf 11.3.0-1ubuntu1.2 aktualisieren

  • pillow Ubuntu:26.04:LTS

    Softwareversionen
    • 11.3.0-1ubuntu1
    • 11.3.0-1ubuntu2
    • 12.0.0-1ubuntu1
    • 12.1.1-1ubuntu1
    • 12.1.1-2ubuntu1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 12.1.1-2ubuntu1.1

    Auf 12.1.1-2ubuntu1.1 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →