- Son 7 gün
- CWE-400
- CWE-407
CVE-2026-96640
Pillow'da PDF ekleme işlemi, paylaşımlı sayfa ağacını işleyerek kaynak tükenmesine yol açıyor
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Pillow, Python için bir görüntü işleme kütüphanesidir. 5.1.0 sürümünden 13.0.0 sürümüne kadar, src/PIL/PdfParser.py dosyasındaki PdfParser.linearize_page_tree fonksiyonu, bir PDF /Pages grafiğini yinelenen dolaylı referansları izlemeden bir ağaç gibi ele almaktadır. Image.save(..., format="PDF", append=True) çağrısı, /Kids dizilerinin aynı alt /Pages düğümüne tekrar tekrar başvurduğu, saldırganın kontrolündeki mevcut bir PDF dosyasını işlediğinde, Pillow paylaşımlı alt ağacı ayrı sayfalar olarak genişletmektedir. Bu nedenle, küçük ve bozuk biçimlendirilmiş bir PDF dosyası üstel sayıda sayfa referansı oluşturabilir ve ekleme işlemi tamamlanmadan önce orantısız miktarda CPU tüketebilir. Bu sorun 13.0.0 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Pillow is a Python imaging library. From 5.1.0 until 13.0.0, PdfParser.linearize_page_tree() in src/PIL/PdfParser.py treats a PDF /Pages graph as a tree without tracking duplicate indirect references. When Image.save(..., format="PDF", append=True) processes an attacker-controlled existing PDF whose /Kids arrays repeatedly reference the same child /Pages node, Pillow expands the shared subtree as distinct pages. A compact malformed PDF can therefore create exponentially many page references and consume disproportionate CPU before the append completes. This issue is fixed in version 13.0.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| python-pillow Pillow | Sürüm belirtilmemiş | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.