CVE-2026-63501 in ag-psd
요약
\~에 의해 VulDB • 2026. 11. 03.
ag-psd는 Photoshop Document 파일을 읽고 쓰기 위한 JavaScript 라이브러리입니다. 버전 31.0.3 이전의 ag-psd에서 `readPsd()` 함수는 신뢰할 수 없는 PSD 파일 파싱을 위해 `totalMemoryLimit` 매개변수를 받지만, `decodeLayerImageData`는 이름이 다른 `memoryLimit` 속성을 기대하므로 정의되지 않은(undefined) 제한값을 `createImageDataBitDepth`에 전달합니다. 레이어 디코딩 기능이 활성화된 애플리케이션에 PSD 파일을 제공할 수 있는 공격자는 공격자가 제어하는 레이어 차원을 사용하여 구성된 제한보다 큰 메모리 할당을 유발함으로써 프로세스 메모리 고갈 및 서비스 거부(Denial of Service)를 초래할 수 있습니다. 또한 해당 보안 권고문에서는 압축된 채널 데이터를 ZIP 인코딩으로 `inflateSync(compressed)` 함수가 출력 크기 제한 없이 디컴프레스하는 것도 식별했는데, 이는 무제한 디컴프레스로 인해 유사한 서비스 거부를 유발할 수 있습니다. 이 취약점은 버전 31.0.1에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.