- Yama var
- Son 7 gün
- CWE-125
CVE-2026-96644
Pillow'da Windows derlemelerinde WMF/EMF işlemede bellek taşması (heap over-read) açığı
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Pillow, Python için bir görüntü işleme kütüphanesidir. 13.0.0 sürümünden önce, Windows üzerinde src/PIL/WmfImagePlugin.py, denetlenmemiş 32 bitlik WMF veya EMF boyutlarını src/display.c içindeki yerel drawwmf işleyicisine iletmektedir. İşleyici, 16 bitlik olarak kesilmiş bcWidth ve bcHeight alanlarından bir DIB ayırma boyutu belirlemekte, ancak piksel verilerini orijinal tam boyutlarla kopyalamaktadır. Özel hazırlanmış, geniş ve kısa bir metafile, piksel sayısına dayalı dekompresyon bombası kontrolünden geçebilir ve yalnızca Windows'ta çalışan işleyicinin heap tamponunun ötesini okumasına neden olabilir; bu durum bellek bilgisinin ifşa olmasına veya işlemin çökmesine yol açabilir. Bu sorun 13.0.0 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Pillow is a Python imaging library. Prior to 13.0.0 on Windows, src/PIL/WmfImagePlugin.py passes unchecked 32-bit WMF or EMF dimensions to the native drawwmf handler in src/display.c. The handler sizes a DIB allocation from 16-bit-truncated bcWidth and bcHeight fields but copies pixel data using the original full dimensions. A crafted wide, short metafile can pass the pixel-count decompression-bomb check and make the Windows-only renderer read beyond the heap buffer, potentially disclosing memory or crashing the process. This issue is fixed in version 13.0.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| python-pillow Pillow | < 13.0.0 | 13.0.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.