CVE-2026-112894 Denegación de servicio por tiempo cuadrático en save_all de PDF en Pillow

Qué es CVE-2026-112894

En Pillow desde 5.1.0 hasta 13.0.0, guardar muchas imágenes con save_all habilitado consume tiempo cuadrático al reservar identificadores de objetos PDF, ya que PdfParser.next_object_id() reconstruye y recorre todos los identificadores reservados para cada objeto. Una imagen multiframe, incluida una APNG pequeña con un conteo de frames declarado grande, puede consumir CPU excesiva y denegar el servicio. Se corrige en la versión 13.0.0.

Productos y versiones afectadas

• python-pillow Pillow

  • >= 5.1.0, < 13.0.0

Qué hacer

1. Verificá si usás Pillow y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 8.7 ALTA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Ninguno

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Ninguna

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Ninguna

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Alta

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

Pillow is a Python imaging library. From 5.1.0 until 13.0.0, Pillow takes quadratic time to reserve PDF object identifiers when saving many frames with save_all enabled. PdfParser.next_object_id() repeatedly rebuilds and scans all previously reserved identifiers for every object. An attacker can supply a multi-frame image, including a small APNG with a large declared frame count, to an application that converts it to a multipage PDF. This can consume excessive CPU and deny service. This issue is fixed in version 13.0.0.

Referencias

• github.com/python-pillow/Pillow/security/advisories/GHSA-jg86-v3jv-hrpmX_REFSOURCE_CONFIRM
• github.com/python-pillow/Pillow/commit/f6a852555f1a1bdff7781abf25f1a3b8bd6ce6cbX_REFSOURCE_MISC
• github.com/python-pillow/Pillow/releases/tag/13.0.0X_REFSOURCE_MISC

Historial de la alerta

1. 19 OCT · 20:57VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.