GitHub 安全公告库 (GHSA)·2026-10-22 23:59· 2 小时前精选AI 评分58

Pillow BMP RLE 解码器存在内存放大 DoS，公开 PoC 与复现数据

Pillow: BMP RLE decoder memory-amplification DoS via unbounded delta escape / absolute mode

AI 导读

GitHub 安全公告披露 Pillow 的 BmpRleDecoder 在 delta escape 与 absolute mode 分支中无界增长，约 1 KB 的构造 BMP 文件即可让进程分配数 GB 内存。

为什么值得看

披露给出可复现脚本与实测内存占用，说明约 1 KB 的 BMP 文件即可触发数 GB 级内存放大。