p PatchFirst

CVE-2026-40192

CVE-2026-40192 · Pillow is vulnerable to a FITS GZIP decompression bomb

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Esta página muestra una selección de datos de las fuentes. Consulte los avisos enlazados para ver la descripción completa y las versiones afectadas.

Pillow is a Python imaging library. Versions 10.3.0 through 12.1.1 did not limit the amount of GZIP-compressed data read when decoding a FITS image, making them vulnerable to decompression bomb attacks. A specially crafted FITS file could cause unbounded memory consumption, leading to denial of service (OOM crash or severe performance degradation). If users are unable to immediately upgrade, they should only open specific image formats, excluding FITS, as a workaround.

CVSS 8.7 · Alta · EPSS 0,7% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system · python

Productos y versiones afectados

  • pillow

    Versiones
    • >= 10.3.0, < 12.2.0: Afectada

    Sin corrección publicada

  • pillow Debian:13

    Versiones
    • 11.1.0-5
    • 11.1.0-5+deb13u1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 11.1.0-5+deb13u2

    Actualiza a 11.1.0-5+deb13u2

  • pillow Debian:14

    Versiones
    • 11.1.0-5
    • 11.2.1-1
    • 11.3.0-1
    • 12.0.0-1
    • 12.1.0-1
    • 12.1.1-1
    • 12.1.1-2
    Intervalos de versiones afectados
    • ECOSYSTEM: < 12.2.0-1

    Actualiza a 12.2.0-1

  • pillow PyPI

    Versiones
    • 10.3.0
    • 10.4.0
    • 11.0.0
    • 11.1.0
    • 11.2.1
    • 11.3.0
    • 12.0.0
    • 12.1.0
    • 12.1.1
    Intervalos de versiones afectados
    • ECOSYSTEM: ≥ 10.3.0, < 12.2.0

    Actualiza a 12.2.0

  • pillow Ubuntu:25.10

    Versiones
    • 11.1.0-5build1
    • 11.3.0-1ubuntu1
    • 11.3.0-1ubuntu1.1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 11.3.0-1ubuntu1.2

    Actualiza a 11.3.0-1ubuntu1.2

  • pillow Ubuntu:26.04:LTS

    Versiones
    • 11.3.0-1ubuntu1
    • 11.3.0-1ubuntu2
    • 12.0.0-1ubuntu1
    • 12.1.1-1ubuntu1
    • 12.1.1-2ubuntu1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 12.1.1-2ubuntu1.1

    Actualiza a 12.1.1-2ubuntu1.1

Fuentes originales

Comprueba tu servidor →