何が起きたか
thumbnail() が内部で呼ぶ draft() は JPEG を 1/2〜1/8 に縮小して読む指定を出しますが、ロスレス JPEG では libjpeg-turbo がその指定を無視して全幅で返すため、小さく確保した領域の外へ書き込みます。利用者が持ち込んだ画像をサムネイル化する処理が狙われます。
やること
Pillow を 13.0.0 へ更新します。画像アップロードを受け付けるサービスは優先度が高く、requirements やコンテナイメージに固定している版も忘れずに上げてください。
出典
Pillow のセキュリティ勧告github.com英語 ↗NVD CVE-2026-112403nvd.nist.gov英語 ↗上の要約は通り道編集部がまとめたものです。影響範囲と修正版は必ず各出典で確認してください。