В Pillow нашли переполнение буфера в libopenjp2 при разборе JPEG 2000

Уязвимость GHSA-78G4-XQWV-Q3G8 (CVSS 7.5) в бинарных wheel-пакетах Pillow 11.1.0–12.x позволяет через специально созданный JPEG 2000 вызвать переполнение кучи в libopenjp2 и выполнить код или обрушить приложение. Исправление вышло в Pillow 13.0.0, в OpenJPEG — в версии 2.5.5.

• CVSS 7.5, CWE-122: переполнение кучи при разборе JPEG 2000
• Затронуты Pillow 11.1.0–12.x и libopenjp2 2.5.3–2.5.4
• Исправлено в Pillow 13.0.0 и OpenJPEG 2.5.5
• Есть PoC и краш-тест OSS-Fuzz, CVE не присвоен