CVE-2026-112895 Recursión sin límite al parsear el árbol de páginas o la cadena de trailers de un PDF en Pillow

Qué es CVE-2026-112895

En Pillow desde 5.1.0 hasta 13.0.0, el parseo de un PDF durante una operación de append puede agotar recursos: PdfParser sigue referencias del árbol de páginas sin detectar ciclos ni duplicados y sigue cadenas de trailers con solo una protección de offset repetido exacto. Un PDF malicioso puede provocar RecursionError no capturado o consumo excesivo de CPU y memoria, causando denegación de servicio. Se corrige en la versión 13.0.0.

Productos y versiones afectadas

• python-pillow Pillow

  • >= 5.1.0, < 13.0.0

Qué hacer

1. Verificá si usás Pillow y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 8.7 ALTA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Ninguno

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Ninguna

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Ninguna

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Alta

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

Pillow is a Python imaging library. From 5.1.0 until 13.0.0, Pillow can exhaust resources while parsing an existing PDF during an append operation. PdfParser follows page-tree child references without cycle or duplication tracking and follows previous-trailer chains with only an exact repeated-offset guard, so deep or cyclic page trees and long chains of unique trailer offsets can exhaust the Python stack. Repeated non-cyclic /Kids references can also cause super-linear CPU and memory use. An attacker can supply such a PDF to an application that calls Image.save with PDF append enabled. This can raise an uncaught RecursionError or consume excessive CPU and memory before output is written, causing denial of service. This issue is fixed in version 13.0.0.

Referencias

• github.com/python-pillow/Pillow/security/advisories/GHSA-p4wg-p73j-c528X_REFSOURCE_CONFIRM
• github.com/python-pillow/Pillow/commit/e2ae7eacad6de68c37eb28b633a97bebacf2c5bfX_REFSOURCE_MISC
• github.com/python-pillow/Pillow/releases/tag/13.0.0X_REFSOURCE_MISC

Historial de la alerta

1. 19 OCT · 20:57VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.