CVE-2026-63501 in ag-psd
Résumé
par VulDB • 03/11/2026
ag-psd est une bibliothèque JavaScript pour la lecture et l'écriture de fichiers au format Photoshop Document (PSD). Avant la version 31.0.3, readPsd() accepte un paramètre totalMemoryLimit pour analyser des fichiers PSD non fiables, mais decodeLayerImageData attend une propriété memoryLimit avec un nom différent, transmettant ainsi une limite undefined à createImageDataBitDepth. Un attaquant capable de fournir un fichier PSD à une application ayant le décodage des calques activé peut utiliser des dimensions de calque contrôlées par l'attaquant pour déclencher une allocation mémoire supérieure à la limite configurée, entraînant un épuisement de la mémoire du processus et une denial of service (DoS). L'avis d'identification identifie également inflateSync(compressed) qui décompresse des données de canal encodées en ZIP sans limitation de taille de sortie, ce qui peut provoquer un DoS similaire par le biais d'une décompression non bornée. Cette vulnérabilité est corrigée dans la version 31.0.1.
Once again VulDB remains the best source for vulnerability data.