CVE-2026-40192

Pillow is a Python imaging library. Versions 10.3.0 through 12.1.1 did not limit the amount of GZIP-compressed data read when decoding a FITS image, making them vulnerable to decompression bomb attacks. A specially crafted FITS file could cause unbounded memory consumption, leading to denial of service (OOM crash or severe performance degradation). If users are unable to immediately upgrade, they should only open specific image formats, excluding FITS, as a workaround.

### Impact Pillow did not limit the amount of GZIP-compressed data read when decoding a FITS image, making it vulnerable to decompression bomb attacks. A specially crafted FITS file could cause unbounded memory consumption, leading to denial of service (OOM crash or severe performance degradation). ### Patches The amount of data read is now limited to the necessary amount. Fixed in Pillow 12.2.0 (PR #9521). ### Workarounds Avoid Pillow >= 10.3.0, < 12.2.0 Only open [specific image formats](https://pillow.readthedocs.io/en/stable/releasenotes/8.0.0.html#image-open-add-formats-parameter), excluding FITS.

Pillow es una biblioteca de imágenes de Python. Las versiones 10.3.0 a 12.1.1 no limitaban la cantidad de datos comprimidos con GZIP leídos al decodificar una imagen FITS, lo que las hacía vulnerables a ataques de bomba de descompresión. Un archivo FITS especialmente diseñado podría causar un consumo de memoria ilimitado, lo que llevaría a una denegación de servicio (fallo por OOM o degradación severa del rendimiento). Si los usuarios no pueden actualizar de inmediato, deberían abrir solo formatos de imagen específicos, excluyendo FITS, como solución alternativa.