#Python

pypdf 解析内容流可能导致内存占用过大，已在 6.21.0 修复

pypdf 存在内存占用过大问题：攻击者可构造包含大量小操作的 PDF 内容流，在解析时消耗大量内存。该问题已在 pypdf 6.21.0 中修复，暂无法升级的用户可参考 PR #4218 中的改动作为规避方案。

pypdf 解析数组与字典时可能占用大量内存，已在 6.21.0 修复

pypdf 存在解析数组和字典时内存占用过大的问题，攻击者可构造含大量元素的 PDF 触发。该问题已在 pypdf 6.21.0 中修复，无法升级者可参考 PR #4218 的改动作为规避方案。

pypdf 修复读取表单字段时可能长时间运行或占用大量内存的漏洞

pypdf 在读取文档表单字段时存在资源消耗问题，攻击者可构造 PDF 导致大量内存占用或长时间运行。该问题已在 pypdf==6.21.0 中修复，无法升级的用户可参考 PR #4219 中的改动作为规避方案。

GraphQL-core 修复 OverlappingFieldsCanBeMerged 校验规则二次复杂度 DoS

GraphQL-core 发布通告，指出默认启用的 OverlappingFieldsCanBeMerged 校验规则可被小体积查询触发二次复杂度，364 KB 文档在 3.2.8 上校验耗时 319 秒，且无需认证。

GraphQL-core 修复注释 token 绕过 max_tokens 限制导致的拒绝服务漏洞

GraphQL-core 发布通告，指出解析器的 max_tokens 限制未统计注释 token，用注释填充的文档可绕过该限制并持续占用内存，38 MB 载荷在 max_tokens=5 下额外占用约 92 MB 常驻内存。

OpenTelemetry Python opentelemetry-api 修复 tracestate 解析 CPU 耗尽问题

GitHub 安全公告 GHSA-xcq7-p3pf-p88h 指出，opentelemetry-api 的 TraceState.from_header 用正则拆分 W3C tracestate 头且未先做长度限制。

Jupyter Server 2.0.0 至 2.5.0 的 Gateway WebSocket 处理器绕过内核执行授权

Jupyter Server 2.0.0 至 2.5.0 在启用 GatewayClient.url 后，Gateway WebSocket 处理器只校验用户已认证，不调用 Authorizer 判断其是否有权执行内核，被拒绝 execute 权限的已认证用户仍可打开内核通道向上游内核发送消息。

PyJWT 2.13.0 及之前版本经 oct JWK 空 HMAC 密钥可伪造 HS256 令牌，2.14.0 修复

PyJWT 的 HMACAlgorithm.from_jwk 接受 k 为空字符串的 oct JWK 并返回零长度密钥，使经 PyJWK、PyJWKSet 或 PyJWKClient 校验的 HS256/384/512 令牌可被攻击者用空密钥伪造，默认配置下仅触发 InsecureKeyLengthWarning 而不报错。

Pillow 的 MPO 与 DCX 多帧 seek() 绕过解压炸弹防护，附 PoC

Pillow 的 Image._decompression_bomb_check 只在 Image.open() 时对首帧执行，MpoImageFile.seek() 与 DcxImageFile.seek() 重新解析帧后未再检查，构造首帧极小、后续帧超大尺寸的 MPO 或 DCX 文件即可绕过限制并耗尽内存。

Pillow 的 SpiderImagePlugin.seek() 绕过解压炸弹检查，导致无界内存分配 DoS

GitHub 安全公告 GHSA-g842-9rc4-69pw 指出，Pillow 的 SpiderImagePlugin 中 seek() 绕过了解压炸弹检查：用 1x1 的 frame0 打开文件后调用 im.seek(1)，尺寸被设为 (100,100) 却不触发 DecompressionBombWarning 或 DecompressionBombError。

Pillow BMP RLE 解码器存在内存放大 DoS，公开 PoC 与复现数据

GitHub 安全公告披露 Pillow 的 BmpRleDecoder 在 delta escape 与 absolute mode 分支中无界增长，约 1 KB 的构造 BMP 文件即可让进程分配数 GB 内存。

Pillow 多帧加载器模式切换后复用旧原生存储，MPO 路径可致越界写与命令执行

Pillow 12.3.0 的多帧加载器在帧间切换 mode 时会复用上一帧的原生 ImagingCore 存储，导致越界写与进程崩溃；作者在 PSD、MPO/JPEG、DCX、MIC 四个入口验证了该问题。

Pillow PDF 追加模式接受畸形共享页面树 DAG 导致资源耗尽（影响 12.3.0 及 >= 5.1.0，暂无补丁）

Pillow 的 PDF 追加路径（Image.save(..., format="PDF", append=True)）在处理畸形 /Pages 树时会重复展开同一子引用，造成确定性资源耗尽。

Pillow 12.3.0 原生整数运算可达未定义行为，可致拒绝服务或逻辑完整性受损

Pillow 12.3.0 的 src/_imaging.c 中 xsize += dx 仅校验正向溢出，当 PILfont 字形步进 dx 取 -32768 并重复 65,537 次时触发 C 有符号整数下溢未定义行为。

Pillow TarIO 负 size 字段导致无限 CPU 空转循环

Pillow 的 TarIO.__init__ 未校验 tar 头 size 字段是否为正，构造 size 为负值的头部会让 seek 回退到自身，形成永不返回的无限循环，进程占用 98%–100% CPU。

Pillow 修复 PNG eXIf 块导致 EXIF 解析呈平方级耗时的问题

GitHub 安全公告指出，Pillow 的 Exif.load() 在剥离 EXIF 数据开头的 Exif\x00\x00 标记时，每轮都会复制剩余数据，而 PNG 的 eXIf 块没有像 tEXt、zTXt、iTXt 那样受 MAX_TEXT_CHUNK 和 MAX_TEXT_MEMORY 限制，因此填充重复标记的 eXIf 块会让解析耗时随块大小平方增长。

Pillow 修复 Windows 构建 WMF/EMF 渲染堆越界读漏洞 GHSA-9v9v-9qvf-h2hj

GitHub 安全公告披露 Pillow 在 Windows 构建上存在堆越界读问题 GHSA-9v9v-9qvf-h2hj，EMF/WMF 图像尺寸未经范围检查即传入原生 drawwmf 处理程序，分配按截断为 16 位的头字段计算，拷贝却使用完整 32 位尺寸。

Pillow JPEG 编码器堆缓冲区溢出：ICC 填满缓冲区后写 COM 注释越界

Pillow 的 JPEG 编码器 ImagingJpegEncode() 在 src/libImaging/JpegEncode.c:330 写 COM 注释前不检查剩余空间，当 65498 字节 ICC profile 恰好填满 65536 字节缓冲区时，注释和整个压缩图像被写到堆缓冲区之外，进程以 SIGSEGV 或 glibc 堆错误终止。

Django REST framework JSONParser 按攻击者指定 codec 解压请求体，公开 PoC 可绕过 DATA_UPLOAD_MAX_MEMORY_SIZE

GitHub 安全公告 GHSA-3547-9m27-7rxg 披露 Django REST framework 的 JSONParser 会用客户端在 Content-Type charset 参数中指定的编码解码请求体，攻击者填入 bz2_codec 等字节变换编码即可绕过 Django 的 DATA_UPLOAD_MAX_MEMORY_SIZE 限制。

Django REST framework 内容协商解析超大 Accept 头导致 CPU 耗尽，附 PoC

Django REST framework 的 content negotiation 对每个 Accept token 重复解析且不限制 token 数量与总大小。

Django REST framework 的 TokenProxy.delete() 静默失效，撤销令牌不生效

Django REST framework 的 TokenProxy.delete() 调用不抛异常并返回成功，但实际未删除数据库行，令牌仍可继续认证。原因是 TokenProxy 将 pk 覆写为 user_id，删除语句用用户 id 去匹配 40 位 key 列，返回 (0, {'authtoken.TokenProxy': 0})。

LiteLLM 1.107.0 遭供应链攻击，投递凭据窃取器与后门

LiteLLM Python 包 1.107.0 遭供应链攻击，通过 PyPI wheels 和 Docker 镜像分发，投递凭据窃取器与后门；该版本已在 PyPI 隔离，恶意 Docker 镜像已移除。

OpenSSF 恶意包库为 PyPI 恶意包 1h1 与 aanthropic 分配 MAL-2026-18188、MAL-2026-18189 编号

OpenSSF 恶意包库为 PyPI 恶意包 1h1 和 aanthropic 分别分配编号 MAL-2026-18188 与 MAL-2026-18189，两包版本均为 1.0.0。两包在安装时下载并执行远程可执行文件，被归入 2026-10-semvver 活动，特征含恶意软件与误植域名。

OpenSSF 恶意包库收录 PyPI 恶意包 1h1 与 aanthropic

OpenSSF 恶意包库新增两条 PyPI 恶意包记录，包名分别为 1h1 与 aanthropic，版本均为 1.0.0，归属活动 2026-10-semvver。

LiteLLM 称 GitHub Token 经 AI 网关日志泄露，导致恶意 Python 包被发布

LiteLLM 披露威胁行为者攻破其多项独立安全控制，于 2026 年 10 月 21 日凌晨约 4 点通过被入侵的发布流水线，向 Docker Hub 和 PyPI 推送了含凭据窃取程序与后门的 1.107.0 版本。LiteLLM 怀疑 GitHub Token 从 AI 网关日志中泄露。

同一件事，精选收录的是《LiteLLM 1.107.0 遭供应链攻击，投递凭据窃取器与后门》

pypdf 未校验 JPEG 图像数据加载漏洞修复于 6.21.1

pypdf 存在未校验 JPEG 图像数据加载问题，攻击者可构造 PDF 触发任意图像解析器被调用，需加载声称使用 /DCTDecode 过滤器的图像。未安装可选 Pillow 依赖的用户不受影响，该问题已在 pypdf 6.21.1 中修复，无法升级者可参考 PR #4222 的改动作为规避方案。

Pillow 的 Ghostscript 调用存在参数注入，公开 PoC 可链式实现 RCE

研究者披露 Pillow 的 PIL.EpsImagePlugin.Ghostscript() 在构造 Ghostscript 命令行时直接把用户可控的文件名放在 -f 位置，未校验以 - 或 @ 开头的文件名，构成 CWE-88 参数注入。

Pillow 的 P;2L 与 P;4L 解码器可能越界读取 1 至 3 字节

Pillow 的 P;2L 和 P;4L 原始解码器在特定宽高下会读取超出传入缓冲区末尾 1 至 3 字节，原因是 ImagingRawDecode 按位深计算行字节数，而 unpackP2L/unpackP4L 按 2 或 4 个位平面各自按字节补齐，两者对一行数据占用字节数的理解不一致。

Pillow 的 Image.transform 在 calloc 失败时双重释放，附复现脚本与补丁

Pillow 的 ImagingScaleAffine()（src/libImaging/Geometry.c:866）在 calloc 失败时对调用方拥有的输出图像调用 ImagingDelete()，随后 Python 对象析构时再次释放，形成 use-after-free 与双重释放。

Pillow 描边渲染字体时存在无效释放问题，附 PoC 复现脚本

GitHub 安全公告 GHSA-j4m9-6w36-pw47 指出，Pillow 在 stroke_width 非零时创建 FreeType stroker，若 FT_Load_Glyph 对某个字形失败，清理路径会对未初始化或已释放的 glyph 指针调用 FT_Done_Glyph，形成无效释放或双重释放。

Pillow 的 Image.merge 因未校验 band 0 存在空指针解引用，公开 PoC 可致进程崩溃

Pillow 的 Image.merge() 只校验 bands[1:] 的模式与尺寸，当 band 0 是单波段 I 或 F 图像时，其 image8 平面为 NULL，ImagingMerge 在 src/libImaging/Bands.c:302、:311、:321 解引用该空指针导致进程崩溃。

Pillow 零尺寸图像经 rank filter 触发 ImagingExpand 空指针解引用崩溃

Pillow 的 ImagingExpand 在 src/libImaging/Filter.c 中复制边缘像素时未检查输入是否为空，对宽度或高度为 0 的图像应用 MedianFilter、MinFilter、MaxFilter 或 RankFilter 会让整个 Python 进程收到 SIGSEGV。

Pillow 12.3.0 保存 GIF 时重复复制注释引发 CPU 拒绝服务

Pillow 12.3.0 及上游 main 分支（ad277e2761b489681e71b51e91367d46b0ceabb9）在保存 GIF 时，`_get_global_header()` 会因超长注释被反复复制，包括从不可信图片继承的注释。

Pillow 修复 MIC 内嵌 TIFF 含 3 个以上 IFD 时 n_frames 无限循环

Pillow 的 MicImagePlugin 在读取内嵌 TIFF 含 3 个及以上 IFD 的 MIC 文件时，访问 im.n_frames 会陷入无限循环、占满单核 CPU 且不抛异常。该问题仅影响安装了可选 olefile 包的环境，源于 7.2.0 引入的回归，Image.open、load、is_animated 等调用不受影响。

Pillow 修复 GIF 注释二次方拼接导致的 Image.open() DoS 问题

GitHub 安全公告指出 Pillow 的 GifImageFile._seek() 在 src/PIL/GifImagePlugin.py 中用 bytes 拼接累积 GIF 注释，使 Image.open() 耗时随注释数据量呈二次方增长，默认设置下 2 MB 文件约 5 秒、4 MB 约 35 秒、8 MB 约 3 分钟，而同样大小的普通 GIF 不到 1 秒。

Pillow 修复 Image.quantize() 空调色板泄露栈内存问题

GitHub 安全公告库披露 Pillow 的 Image.quantize(palette=...) 在调色板为空时会返回 512 字节未初始化的 C 栈内存作为像素值，一个 80 字节的空 PLTE PNG 即可触发，泄露内容包含栈、堆、libc、libpython 与 _imaging 模块地址及栈保护 canary。

Pillow 的 XbmImagePlugin 存在 ReDoS，512 字节文件可让 Image.open() 卡住数分钟

GitHub 安全公告库披露 Pillow 的 XbmImagePlugin 存在 ReDoS：构造的 512 字节文件会让 Image.open() 在单核上消耗约 375 秒 CPU 后才抛出 UnidentifiedImageError。

Pillow PdfParser 的 get_value() 与 linearize_page_tree() 可无限递归（GHSA 安全通告）

Pillow 的 PdfParser.get_value() 递归深度保护失效：max_nesting 默认 -1 且每次递归递减，永远不等于 0，嵌套几千层的 PDF 对象即可触发未捕获的 RecursionError。

Pillow 的 PDF save_all 存在二次方耗时 DoS，问题出在 PdfParser.next_object_id

Pillow 在把多帧图像以 save_all=True 保存为多页 PDF 时，耗时随帧数呈二次方增长，原因是 src/PIL/PdfParser.py 的 PdfParser.next_object_id() 每次调用都重建并扫描已占用的对象 id 集合。

Pillow 的 MSP RLE 解码器可将小文件扩张为无上限内存

GitHub 安全公告库发布 GHSA-gg2r-wvfm-q9rx，指出 Pillow 的 MSP RLE 解码器把游程数据写入无上限的 io.BytesIO，单次游程可扩张约 85 倍，问题位于 src/PIL/MspImagePlugin.py:144-146。