CVE-2026-112391 Recursión sin límite en PdfParser de Pillow al leer objetos PDF anidados

Qué es CVE-2026-112391

Pillow, desde 5.1.0 hasta 13.0.0, permite que PdfParser.get_value() recurse sin límite al leer objetos PDF anidados. El parser sigue arreglos y diccionarios controlados por el atacante cuando se abre un PDF existente para agregar contenido. Un PDF profundamente anidado puede provocar un RecursionError no capturado o terminar el worker, causando denegación de servicio. Se corrige en la versión 13.0.0.

Productos y versiones afectadas

• python-pillow Pillow

  • >= 5.1.0, < 13.0.0

Qué hacer

1. Verificá si usás Pillow y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 6.3 MEDIA

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Presentes

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Ninguna

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Ninguna

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Baja

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

Pillow is a Python imaging library. From 5.1.0 until 13.0.0, Pillow's PdfParser.get_value() can recurse without a limit while reading nested PDF objects. The parser follows attacker-controlled arrays and dictionaries when an existing PDF is opened for append. An attacker can provide a deeply nested PDF to an application that saves an image with PDF append enabled. This can raise an uncaught RecursionError or terminate the worker, causing denial of service. This issue is fixed in version 13.0.0.

Referencias

• github.com/python-pillow/Pillow/security/advisories/GHSA-254f-3936-288hX_REFSOURCE_CONFIRM
• github.com/python-pillow/Pillow/commit/94cb11c44ff7345414da17ebfea1598a529ad9cdX_REFSOURCE_MISC
• github.com/python-pillow/Pillow/releases/tag/13.0.0X_REFSOURCE_MISC

Historial de la alerta

1. 19 OCT · 19:16VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.