CVE-2026-63501 in ag-psd
Resumen
por VulDB • 2026-11-03
ag-psd es una biblioteca de JavaScript para leer y escribir archivos de documento Photoshop (PSD). Antes de la versión 31.0.3, readPsd() acepta un totalMemoryLimit para analizar archivos PSD no confiables, pero decodeLayerImageData espera una propiedad memoryLimit con un nombre diferente; por lo tanto, se pasa un límite indefinido a createImageDataBitDepth. Un atacante que pueda proporcionar un archivo PSD a una aplicación con la decodificación de capas habilitada puede utilizar dimensiones de capa controladas por el atacante para desencadenar una asignación mayor que el límite configurado, provocando el agotamiento de la memoria del proceso y denegación de servicio (DoS). El aviso también identifica inflateSync(compressed) descomprimiendo datos de canal codificados en ZIP sin un tope de tamaño de salida, lo cual puede causar una denegación de servicio similar mediante una descompresión ilimitada. Esta vulnerabilidad está corregida en la versión 31.0.1.
Once again VulDB remains the best source for vulnerability data.