issue处理注意事项:
1. 提交正常修复分支的修复PR时,必须关联当前issue,否则无法关闭当前issue;
2. 模板内容需要填写完整, 无论是受影响或者不受影响都需要填写完整内容;
3. 以下为模板中需要填写完整的内容, 请复制到评论区回复;
注: 内容的关键词(影响性分析说明, openEuler评分, 受影响版本排查(受影响/不受影响), 修复是否涉及abi变化(是/否), 原因说明)不能省略,省略后cve-manager将无法正常解析填写内容.

影响性分析说明:

openEuler评分: (评分和向量)

受影响版本排查(受影响/不受影响):
1.master(13.0.0):
2.openEuler-20.03-LTS-SP4(9.0.1):
3.openEuler-22.03-LTS-SP4(9.0.1):
4.openEuler-24.03-LTS-Next(10.3.0):
5.openEuler-24.03-LTS-SP1(10.3.0):
6.openEuler-24.03-LTS-SP3(10.3.0):
7.openEuler-24.03-LTS-SP4(10.3.0):

修复是否涉及abi变化(是/否)：
1.master(13.0.0):
2.openEuler-20.03-LTS-SP4(9.0.1):
3.openEuler-22.03-LTS-SP4(9.0.1):
4.openEuler-24.03-LTS-Next(10.3.0):
5.openEuler-24.03-LTS-SP1(10.3.0):
6.openEuler-24.03-LTS-SP3(10.3.0):
7.openEuler-24.03-LTS-SP4(10.3.0):

原因说明：
1.master(13.0.0):
2.openEuler-20.03-LTS-SP4(9.0.1):
3.openEuler-22.03-LTS-SP4(9.0.1):
4.openEuler-24.03-LTS-Next(10.3.0):
5.openEuler-24.03-LTS-SP1(10.3.0):
6.openEuler-24.03-LTS-SP3(10.3.0):
7.openEuler-24.03-LTS-SP4(10.3.0):

原因说明填写请参考下方表格(注意：版本是否受影响和版本的原因说明必须对应，例如master版本分支受影响，那原因说明只能是受影响对应的原因之一!)：

issue处理具体操作请参考:
https://atomgit.com/openeuler/cve-manager/blob/master/cve-vulner-manager/doc/md/manual.md
pr关联issue具体操作请参考:
https://docs.atomgit.com/docs/help/home/org_project/pullrequests/pr-related-issue

Welcome To openEuler Community

Hey @openeuler-ci-bot , thanks for your contribution to the community.

Bot Usage Manual

I'm the Bot here serving you. You can find the instructions on how to interact with me at Here . That means you can comment below every pull request or issue to trigger Bot Commands. You can self-configure the PR merge rules for this repository. For more details, please refer to Here.

Contact Guide

If you have any questions, please contact the SIG: sig-python-modules ,
and any of the maintainers: @shinwell_hu, @yangzhao_kl ,
and any of the committers: @cherry530, @randy1568, @starlet-dx .

说明：补丁链接仅供初步排查参考，实际可用性请人工再次确认，补丁下载验证可使用CVE补丁工具。
若补丁不准确，烦请在此issue下评论 '/report-patch 参考网址 补丁链接1,补丁链接2' 反馈正确信息，便于我们不断优化工具，不胜感激。
如 /report-patch https://security-tracker.debian.org/tracker/CVE-2021-3997 https://github.com/systemd/systemd/commit/5b1cf7a9be37e20133c0208005274ce4a5b5c6a1

【任务 #108 · master】CVE-2026-112898

一、是否受影响：不受影响

CVE-2026-112898 的自有补丁经 Step 4 源码影响性分析判为 NOT_APPLICABLE（漏洞代码不存在于本版本源码），无需修复。Step 4 核验表明，该漏洞的两处核心修复代码（src/libImaging/Convert.c 中 topalette 对空 palette 的 ValueError 拦截、src/libImaging/Palette.c 中 ImagingPaletteCacheUpdate 补加的 c[i] = 0; 完整初始化）已逐字存在于 13.0.0 源码中且来自上游 13.0.0 本身，即漏洞触发代码在本版本源码树中不存在。

分支状态：

• master（13.0.0）：不受影响（漏洞代码不存在，补丁 NOT_APPLICABLE；ABI 变化：否）

二、是否有修复补丁：有

上游社区补丁：
https://github.com/python-pillow/Pillow/commit/13943c8f857b22f073d30f0ef9b725a0d255f1a4.patch

该补丁对本分支不适用：其全部修复内容（含新增测试 test_empty_palette）均已存在于 13.0.0 源码中，无需应用。

三、补丁适配情况：无适配

• 不存在适配（adaptation.has_adaptation 为 false）：补丁判定为 NOT_APPLICABLE，修复已在位，无需任何适配。
• 无前置补丁（adaptation.prerequisites 为空）。

四、是否提交 PR：无 PR

本分支不受影响，无需修复动作，因此未提交 PR。

──────── 复制以下内容回填 issue ────────
受影响版本排查(受影响/不受影响)：
1.master(13.0.0): 不受影响
ABI 变化：否
原因说明：
1.不受影响-漏洞代码不存在
────────────────────────────────────────

任务已识别：根据事实清单为 issue #108 生成 CVE-2026-112898 评论，直接输出评论内容如下。

【任务 #108 · openEuler-22.03-LTS-SP4】CVE-2026-112898

是否受影响

结论：不受影响。

CVE-2026-112898 的自有补丁经 Step 4 源码影响性分析判为 NOT_APPLICABLE，即该漏洞代码不存在于本版本源码中，无需修复。

• openEuler-22.03-LTS-SP4（9.0.1）：不受影响，ABI 变化：否

是否有修复补丁

已找到上游社区修复补丁：
https://github.com/python-pillow/Pillow/commit/13943c8f857b22f073d30f0ef9b725a0d255f1a4.patch

补丁适配情况

无适配。该补丁经源码影响性分析判定为 NOT_APPLICABLE，漏洞代码在 openEuler-22.03-LTS-SP4 的 9.0.1 源码中不存在，补丁无法也无需应用，故未进行任何适配。

是否提交 PR

无 PR。

──────── 复制以下内容回填 issue ────────
受影响版本排查(受影响/不受影响)：
1.openEuler-22.03-LTS-SP4(9.0.1): 不受影响
ABI 变化：否
原因说明：
1.不受影响-漏洞代码不存在
────────────────────────────────────────

【任务 #108 · openEuler-20.03-LTS-SP4】CVE-2026-112898

是否受影响：不受影响

openEuler-20.03-LTS-SP4（python-pillow 9.0.1）不受影响。该 CVE 自有补丁经 Step 4 源码影响性分析判定为 NOT_APPLICABLE，漏洞代码不存在于本版本源码：触发漏洞所需的空 palette 机制（palette->size）在本版本源码中整体缺失，palette 为固定长度结构，空 palette 状态在 C 层不可构造；ImagingPaletteCacheUpdate 中的栈缓冲在复制回 cache 前必然被完整写入，未初始化栈内存泄漏路径不可达。无需修复。

各分支状态：

• openEuler-20.03-LTS-SP4（9.0.1）：不受影响（漏洞代码不存在，补丁 NOT_APPLICABLE）

修复补丁：上游社区已有修复补丁：
https://github.com/python-pillow/Pillow/commit/13943c8f857b22f073d30f0ef9b725a0d255f1a4.patch

补丁适配情况：无适配。该补丁基于上游较新代码库生成，其依赖的核心符号与上下文在本版本源码中不存在，经源码影响性分析判定不适用（NOT_APPLICABLE），本版本无需引入该补丁，亦无前置补丁。

PR 提交情况：本任务未提交 PR。

──────── 复制以下内容回填 issue ────────
受影响版本排查(受影响/不受影响)：
1.openEuler-20.03-LTS-SP4(9.0.1): 不受影响
ABI 变化：否
原因说明：
1.不受影响-漏洞代码不存在
────────────────────────────────────────

🔍 CVE 项目匹配性分析结果

CVE: CVE-2026-112898

针对分支: master

结果: ❌ 不匹配

原因: CVE 存在且已多源确认：NVD totalResults=1、MITRE 记录 PUBLISHED（CNA=GitHub_M）、Issue 内 GHSA 链接 https://github.com/python-pillow/Pillow/security/advisories/GHSA-rfgq-q3w2-pmv2 网页访问 HTTP 200 且包含 CVE-2026-112898 与 Patched versions 13.0.0、OSV 亦收录。组件匹配：受影响产品 Pillow 与项目包名 python-pillow 匹配。版本不匹配：上游公告受影响范围为 >= 9.1.0, < 13.0.0，修复版本 13.0.0；master 分支 SPEC（python-pillow.spec）当前 Version 为 13.0.0，恰为上游修复版本，不在受影响范围内。上游修复 commit 13943c8f857b22f073d30f0ef9b725a0d255f1a4（Raise an error when calling quantize() with an empty palette, #10129）已包含于 13.0.0 发布，SPEC 中亦无相关 Patch 补丁需求。Issue 中"漏洞归属的版本"列表含 13.0.0 系 cve-manager 自动填充的历史版本枚举，与上游权威公告的受影响区间不符，以上游公告为准。

说明:

• 此结论仅针对上述分支；仓库包含多个分支，其他分支是否受影响请维护者结合各分支实际情况判断
• 如有疑问，请联系安全团队确认

此评论由 Claude Agent Team（项目经理）自动生成

✅ CVE 修复已由现有 PR 覆盖（同一方案）

CVE: CVE-2026-112898

针对分支: openEuler-24.03-LTS-SP4

修复 PR: https://gitcode.com/src-openeuler/python-pillow/merge_requests/323

说明:

• 本仓库当期已有同方案的修复 PR，本 CVE 的修复已包含其中，无需重复提交
• 此结论仅针对上述分支；其他分支是否受影响请维护者结合各分支实际情况判断

此评论由 Claude Agent Team 自动生成

影响性分析说明：
Pillow is a Python imaging library. From 9.1.0 until 13.0.0, Pillow can disclose uninitialized stack memory when Image.quantize() uses an empty palette. ImagingPaletteCacheUpdate() leaves a local cache array uninitialized when the palette has zero entries, and the conversion path emits those bytes as output pixel indices. An attacker who controls the palette image can obtain stack contents from a returned PNG or GIF. This can disclose addresses and stack-canary data without an out-of-bounds access, memory corruption, or process crash. This issue is fixed in version 13.0.0.
官方修复版本为 13.0.0（GHSA-rfgq-q3w2-pmv2，修复 commit 13943c8，官方受影响版本范围 >=9.1.0, <13.0.0）。openEuler master 分支已升级至 13.0.0（PR !297 已合入）完成修复；openEuler-20.03-LTS-SP4 与 openEuler-22.03-LTS-SP4 分支版本为 9.0.1，低于受影响版本下限 9.1.0，不受影响（漏洞代码不存在）；openEuler-24.03 系列（Next/SP1/SP3/SP4）分支版本为 10.3.0，处于受影响版本范围内，对应修复 PR 尚未合入（部分已关闭），当前已发布包中无可用修复，暂不修复。

openEuler评分：5.3 Medium
BaseScore：5.3
Vector：CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

受影响版本排查(受影响/不受影响)：
1.master(13.0.0):受影响
2.openEuler-20.03-LTS-SP4(9.0.1):不受影响
3.openEuler-22.03-LTS-SP4(9.0.1):不受影响
4.openEuler-24.03-LTS-Next(10.3.0):受影响
5.openEuler-24.03-LTS-SP1(10.3.0):受影响
6.openEuler-24.03-LTS-SP3(10.3.0):受影响
7.openEuler-24.03-LTS-SP4(10.3.0):受影响

修复是否涉及abi变化(是/否)：
1.master(13.0.0):否
2.openEuler-20.03-LTS-SP4(9.0.1):否
3.openEuler-22.03-LTS-SP4(9.0.1):否
4.openEuler-24.03-LTS-Next(10.3.0):否
5.openEuler-24.03-LTS-SP1(10.3.0):否
6.openEuler-24.03-LTS-SP3(10.3.0):否
7.openEuler-24.03-LTS-SP4(10.3.0):否

原因说明：
1.master(13.0.0):正常修复
2.openEuler-20.03-LTS-SP4(9.0.1):不受影响-漏洞代码不存在
3.openEuler-22.03-LTS-SP4(9.0.1):不受影响-漏洞代码不存在
4.openEuler-24.03-LTS-Next(10.3.0):暂不修复-暂无解决方案或补丁
5.openEuler-24.03-LTS-SP1(10.3.0):暂不修复-暂无解决方案或补丁
6.openEuler-24.03-LTS-SP3(10.3.0):暂不修复-暂无解决方案或补丁
7.openEuler-24.03-LTS-SP4(10.3.0):暂不修复-暂无解决方案或补丁

@gitee-cmd, @zhujianwei001, @luoyukai, @kylincuilei, @tanjingguo, @tangjie, @mailofzxf, @zeng-wei2000, @Sam-Luo The CVE score needs to be reviewed (the review instruction /approve or /reject means agreement and rejection).

@cherry530 ,请给出NVD评分和openEuler评分不一致的理由

影响性分析说明：
Pillow is a Python imaging library. From 9.1.0 until 13.0.0, Pillow can disclose uninitialized stack memory when Image.quantize() uses an empty palette. ImagingPaletteCacheUpdate() leaves a local cache array uninitialized when the palette has zero entries, and the conversion path emits those bytes as output pixel indices. An attacker who controls the palette image can obtain stack contents from a returned PNG or GIF. This can disclose addresses and stack-canary data without an out-of-bounds access, memory corruption, or process crash. This issue is fixed in version 13.0.0.
官方修复版本为 13.0.0（GHSA-rfgq-q3w2-pmv2，修复 commit 13943c8，官方受影响版本范围 >=9.1.0, <13.0.0）。openEuler master 分支已升级至 13.0.0（PR !297 已合入）完成修复；openEuler-20.03-LTS-SP4 与 openEuler-22.03-LTS-SP4 分支版本为 9.0.1，低于受影响版本下限 9.1.0，不受影响（漏洞代码不存在）；openEuler-24.03-LTS-SP4 分支修复 PR（!323）已合入完成修复，openEuler-24.03 系列（Next/SP1/SP3）分支对应修复 PR 尚未合入（已关闭），当前已发布包中无可用修复，暂不修复。

openEuler评分：5.3 Medium
BaseScore：5.3
Vector：CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

受影响版本排查(受影响/不受影响)：
1.master(13.0.0):受影响
2.openEuler-20.03-LTS-SP4(9.0.1):不受影响
3.openEuler-22.03-LTS-SP4(9.0.1):不受影响
4.openEuler-24.03-LTS-Next(10.3.0):受影响
5.openEuler-24.03-LTS-SP1(10.3.0):受影响
6.openEuler-24.03-LTS-SP3(10.3.0):受影响
7.openEuler-24.03-LTS-SP4(10.3.0):受影响

修复是否涉及abi变化(是/否)：
1.master(13.0.0):否
2.openEuler-20.03-LTS-SP4(9.0.1):否
3.openEuler-22.03-LTS-SP4(9.0.1):否
4.openEuler-24.03-LTS-Next(10.3.0):否
5.openEuler-24.03-LTS-SP1(10.3.0):否
6.openEuler-24.03-LTS-SP3(10.3.0):否
7.openEuler-24.03-LTS-SP4(10.3.0):否

原因说明：
1.master(13.0.0):正常修复
2.openEuler-20.03-LTS-SP4(9.0.1):不受影响-漏洞代码不存在
3.openEuler-22.03-LTS-SP4(9.0.1):不受影响-漏洞代码不存在
4.openEuler-24.03-LTS-Next(10.3.0):暂不修复-暂无解决方案或补丁
5.openEuler-24.03-LTS-SP1(10.3.0):暂不修复-暂无解决方案或补丁
6.openEuler-24.03-LTS-SP3(10.3.0):暂不修复-暂无解决方案或补丁
7.openEuler-24.03-LTS-SP4(10.3.0):正常修复

@gitee-cmd, @zhujianwei001, @luoyukai, @kylincuilei, @tanjingguo, @tangjie, @mailofzxf, @zeng-wei2000, @Sam-Luo The CVE score needs to be reviewed (the review instruction /approve or /reject means agreement and rejection).

@cherry530 ,请给出NVD评分和openEuler评分不一致的理由

评分不一致理由：issue body 中 NVD 评分（6.9 Medium，CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N）为 CVSS v4 版本；openEuler 评分采用 CVSS v3.1 版本（5.3 Medium，CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N）。两者差异仅因 CVSS v3 与 v4 度量模型版本不同（AttackRequirement、Scope 等度量项评分标准存在差异），严重级别结论一致（均为 Medium）。