GitHub 安全公告库 (GHSA)·2026-10-22 04:45· 21 小时前精选AI 评分62

Pillow 的 XbmImagePlugin 存在 ReDoS，512 字节文件可让 Image.open() 卡住数分钟

Pillow: ReDoS in XbmImagePlugin: 512-byte file stalls Image.open() for minutes

AI 导读

GitHub 安全公告库披露 Pillow 的 XbmImagePlugin 存在 ReDoS：构造的 512 字节文件会让 Image.open() 在单核上消耗约 375 秒 CPU 后才抛出 UnidentifiedImageError。

为什么值得看

公告给出了触发条件、耗时实测与正则修复补丁，使用 Pillow 处理用户上传图片的服务可据此判断暴露面。