Schwachstellen verstehen. Anwendungen schützen.

Hoch 21.10.2026

CVE-2026-113722

virtualenv: Generierte POSIX-Konsolen-Starter interpretieren Zielpfade als Shell-Syntax

Eine Schwachstelle in virtualenv führt dazu, dass Zielpfade von generierten POSIX-Konsolen-Startern als Shell-Syntax interpretiert werden. Wenn ein Angreifer den Pfad beeinflussen kann, führt das Ausführen des Starters zur Ausführung beliebiger Befehle mit den Rechten des aufrufenden Benutzers.

Python (PyPI)

virtualenv

Kritisch 22.10.2026

CVE-2026-96639

Pillow-Mehrbild-Loader können nach Moduswechseln veralteten nativen Bildspeicher wiederverwenden

Eine Schwachstelle in Mehrbild-Ladeprogrammen von Pillow ermöglicht die Wiederverwendung von veraltetem nativem Bildspeicher nach Modusübergängen, was zu Pufferüberläufen, Abstürzen oder Codeausführung führen kann.

Python (PyPI)

pillow

Mittel 22.10.2026

CVE-2026-113721

virtualenv: Generated files can follow existing destination links

Python (PyPI)

virtualenv

Mittel 22.10.2026

CVE-2026-114603

OpenTelemetry Python: Unbounded tracestate parsing in opentelemetry-api

Python (PyPI)

opentelemetry-api

Mittel 22.10.2026

CVE-2026-96636

Pillow: Decompression-bomb protection bypass via multi-frame seek() in MPO and DCX (MpoImageFile.seek / DcxImageFile.seek)

Python (PyPI)

pillow

Mittel 22.10.2026

CVE-2026-96641

Pillow: Reachable undefined behavior in native integer operations, potentially leading to denial of service or logic integrity compromise

Python (PyPI)

pillow

Mittel 21.10.2026

CVE-2026-112396

Pillow: Heap use-after-free when encoding TIFF to an in-memory buffer

Python (PyPI)

pillow

Mittel 21.10.2026

CVE-2026-113724

virtualenv: Deletion recovery can change a symlink target's mode

Python (PyPI)

virtualenv

Mittel 21.10.2026

CVE-2026-113716

virtualenv: Builtin creation follows linked environment directories

Python (PyPI)

virtualenv

Mittel 21.10.2026

CVE-2026-112391

Pillow: PdfParser can recurse without limit in get_value() and linearize_page_tree()

Python (PyPI)

pillow

Mittel 21.10.2026

CVE-2026-112898

Pillow: Image.quantize() with empty palette leaks uninitialized stack memory

Python (PyPI)

pillow

Mittel 21.10.2026

CVE-2026-112401

Pillow: Quadratic GIF comment concatenation allows DoS in Image.open()

Python (PyPI)

pillow

Mittel 21.10.2026

CVE-2026-112901

Pillow: ReDoS in XbmImagePlugin: 512-byte file stalls Image.open() for minutes

Python (PyPI)

pillow

Niedrig 21.10.2026

CVE-2026-113731

djust: Arbitrary absolute-path file read in the find_handlers_for_template MCP tool

Python (PyPI)

djust

Mittel 20.10.2026

CVE-2026-112899

Pillow: EPS load(scale) lets Ghostscript render past the decompression bomb limit

Python (PyPI)

pillow

Mittel 15.10.2026

CVE-2026-59951

MCP Python SDK: Unbounded Session Accumulation in StreamableHTTP Transport Enables Resource Exhaustion

Python (PyPI)

mcp

Mittel 15.10.2026

CVE-2026-62322

Python Social Auth: Login CSRF in LINE backend (LineOAuth2) — missing OAuth state validation (incomplete fix of 5.0.0 campaign)

Python (PyPI)

social-auth-core

Mittel 21.10.2026

CVE-2026-112891

Pillow: Quadratisches Kopieren von GIF-Kommentaren beim Speichern

Eine Schwachstelle in Pillow führt beim Speichern von GIF-Dateien mit langen Kommentaren zu wiederholten Kopiervorgängen. Dies kann bei der Verarbeitung nicht vertrauenswürdiger Bild-Uploads eine hohe CPU-Auslastung und Denial-of-Service-Zustände verursachen.

Python (PyPI)

pillow

Mittel 21.10.2026

CVE-2026-112394

Pillow: P;2L- und P;4L-Decoder können 1 bis 3 Bytes über die Puffergröße hinaus lesen

Eine Out-of-bounds-Read-Schwachstelle in Pillow ermöglicht es bestimmten Decodern, Heap-Speicher jenseits der Puffergrenzen zu lesen. Dies kann dazu führen, dass benachbarte Speicherdaten in decodierte Pixelwerte einfließen oder die Anwendung abstürzt.

Python (PyPI)

pillow

Hoch 21.10.2026

CVE-2026-112392

Pillow: NULL-Zeiger-Dereferenzierung in ImagingExpand über Rangfilter bei Bildern mit der Größe Null

In Pillow führt das Anwenden von Rang-, Median-, Minimum- oder Maximumfiltern auf Bilder mit einer Breite oder Höhe von null zu einer NULL-Zeiger-Dereferenzierung. Angreifer können dies für Denial-of-Service-Angriffe ausnutzen.

Python (PyPI)

pillow

Hoch 21.10.2026

CVE-2026-112390

Pillow: Endlosschleife in MIC n_frames bei eingebettetem TIFF

Eine Schwachstelle in Pillow ermöglicht es präparierten Microsoft Image Composer (MIC)-Dateien mit eingebetteten TIFF-Streams, beim Abfragen der Frame-Anzahl eine Endlosschleife und 100 % CPU-Last auszulösen, was zu einem Denial of Service führt.

Python (PyPI)

pillow

Hoch 21.10.2026

CVE-2026-112893

Pillow: Ungültige Speicherfreigabe beim FreeType-Glyph-Rendering bei aktivem Stroker

In Pillow kann das Rendern von Text mit Strichbreite über FreeType bei fehlerhaften Glyphen zu einer ungültigen Speicherfreigabe oder einem Double Free führen, wenn Schriften aus nicht vertrauenswürdigen Daten geladen werden.

Python (PyPI)

pillow

Kritisch 21.10.2026

CVE-2026-112900

Pillow: Argument-Injection beim Ghostscript-Aufruf mit möglichem RCE-Risiko

In Pillow ermöglicht eine fehlende Bereinigung von Dateinamen bei Aufrufen von Ghostscript eine Argument-Injection, wenn Pfade mit Sonderzeichen an Image.open() übergeben werden. Dies kann potenziell zur Remotecodeausführung führen.

Python (PyPI)

pillow

Hoch 21.10.2026

CVE-2026-113732

virtualenv activate.fish führt Befehle aus einem Pfad oder Prompt mit einem Backslash vor einem Anführungszeichen aus

In virtualenv kann das Skript activate.fish bei Pfaden oder Prompts, die einen Backslash vor einem Anführungszeichen enthalten, beliebige Befehle ausführen. Dies betrifft alle Versionen vor 21.14.2.

Python (PyPI)

virtualenv