p PatchFirst

CVE-2026-40192

CVE-2026-40192 · Pillow is vulnerable to a FITS GZIP decompression bomb

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Cette page présente une partie des faits des sources. Consultez les avis liés pour la description complète et les versions concernées.

Pillow is a Python imaging library. Versions 10.3.0 through 12.1.1 did not limit the amount of GZIP-compressed data read when decoding a FITS image, making them vulnerable to decompression bomb attacks. A specially crafted FITS file could cause unbounded memory consumption, leading to denial of service (OOM crash or severe performance degradation). If users are unable to immediately upgrade, they should only open specific image formats, excluding FITS, as a workaround.

CVSS 8.7 · Élevée · EPSS 0,7% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system · python

Produits et versions concernés

  • pillow

    Versions du logiciel
    • >= 10.3.0, < 12.2.0: Concernée

    Aucun correctif publié

  • pillow Debian:13

    Versions du logiciel
    • 11.1.0-5
    • 11.1.0-5+deb13u1
    Plages de versions concernées
    • ECOSYSTEM: < 11.1.0-5+deb13u2

    Mettez à jour vers 11.1.0-5+deb13u2

  • pillow Debian:14

    Versions du logiciel
    • 11.1.0-5
    • 11.2.1-1
    • 11.3.0-1
    • 12.0.0-1
    • 12.1.0-1
    • 12.1.1-1
    • 12.1.1-2
    Plages de versions concernées
    • ECOSYSTEM: < 12.2.0-1

    Mettez à jour vers 12.2.0-1

  • pillow PyPI

    Versions du logiciel
    • 10.3.0
    • 10.4.0
    • 11.0.0
    • 11.1.0
    • 11.2.1
    • 11.3.0
    • 12.0.0
    • 12.1.0
    • 12.1.1
    Plages de versions concernées
    • ECOSYSTEM: ≥ 10.3.0, < 12.2.0

    Mettez à jour vers 12.2.0

  • pillow Ubuntu:25.10

    Versions du logiciel
    • 11.1.0-5build1
    • 11.3.0-1ubuntu1
    • 11.3.0-1ubuntu1.1
    Plages de versions concernées
    • ECOSYSTEM: < 11.3.0-1ubuntu1.2

    Mettez à jour vers 11.3.0-1ubuntu1.2

  • pillow Ubuntu:26.04:LTS

    Versions du logiciel
    • 11.3.0-1ubuntu1
    • 11.3.0-1ubuntu2
    • 12.0.0-1ubuntu1
    • 12.1.1-1ubuntu1
    • 12.1.1-2ubuntu1
    Plages de versions concernées
    • ECOSYSTEM: < 12.1.1-2ubuntu1.1

    Mettez à jour vers 12.1.1-2ubuntu1.1

Sources originales

Vérifiez votre serveur →