python-pillow Pillow
python-pillow Pillow: vulnerabilità, sfruttabile via rete senza account
Il problema, secondo i dati ufficiali
- python-pillow Pillow ha una vulnerabilità di sicurezza.
- Secondo la valutazione ufficiale (CVSS) si sfrutta via rete (quindi anche da internet, se il servizio è esposto), senza bisogno di un account.
- Impatto dichiarato: lettura di dati riservati (impatto alto), blocco del servizio (impatto alto).
- Sfruttarla richiede condizioni particolari, descritte nell'avviso del produttore.
Cosa fare
- Aggiorna Pillow alla versione 13.0.0 o successiva.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- Pillow: prima della 13.0.0
Fonti ufficiali
- github.com — riferimento
- github.com — riferimento
- github.com — riferimento
- github.com — riferimento
Descrizione ufficiale (in inglese)
Pillow is a Python imaging library. In versions through 12.3.0, the libtiff TIFF encoder can pass arguments to TIFFSetField() that do not match libtiff’s definition of the corresponding tag. When an application saves attacker-controlled image metadata through this encoder, crafted tag values can cause invalid memory reads, copying process memory into the encoded output or crashing the process. Applications that return the encoded output to an attacker can disclose that memory. The issue is reachable when re-saving compressed TIFF images and through certain conversions that preserve EXIF metadata into compressed TIFF output. This vulnerability is fixed in version 13.0.0.
Non sai se ti riguarda?
Se usi python-pillow Pillow e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Scheda compilata in automatico dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 12 novembre 2026. Prima di intervenire verifica l'avviso del produttore.