¿Qué es y cómo funciona la falla?
La vulnerabilidad CVE-2026-128066 (CWE-770) afecta a la biblioteca Pillow, utilizada para procesar imágenes en Python. El problema reside en la función ImageFileDirectory_v2.load() del archivo src/PIL/TiffImagePlugin.py. Al procesar metadatos EXIF o TIFF, la función puede almacenar múltiples objetos de datos duplicados sin límite, lo que permite que un archivo de imagen pequeño y manipulado (en formatos como TIFF, JPEG, PNG, WebP o MPO) cause un consumo de memoria cuadrático en relación al tamaño del archivo de entrada.
Productos y versiones afectadas
La vulnerabilidad está presente en todas las versiones de Pillow desde la 1.0 hasta la 12.3.0. La versión corregida es la 13.0.0.
Impacto real y probabilidad de explotación
Un atacante podría crear un archivo de imagen específicamente manipulado que, al ser procesado por una aplicación que utilice Pillow, agote la memoria del proceso, provocando una denegación de servicio (DoS). Es importante destacar que las comprobaciones de "bombas de descompresión" (que limitan las dimensiones de píxeles) no previenen este ataque, ya que la asignación de memoria se produce en los metadatos. Según los datos disponibles, Shodan no reporta hosts expuestos en internet con esta vulnerabilidad detectada. El INCIBE-CERT de España clasifica su severidad como P (probablemente "Prioritario" o similar en su escala interna).
¿Qué hacer?
La mitigación directa es actualizar la biblioteca Pillow a la versión 13.0.0 o superior. Se recomienda revisar y actualizar las dependencias en todos los proyectos Python que utilicen esta librería.
| CVE | CVE-2026-128066 |
|---|---|
| Severidad | HIGH |
| CWE | CWE-770 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).