CVE-2026-63501 in ag-psd
Sumário
de VulDB • 03/11/2026
ag-psd é uma biblioteca JavaScript para leitura e escrita de arquivos Photoshop Document (PSD). Antes da versão 31.0.3, readPsd() aceita um totalMemoryLimit para analisar arquivos PSD não confiáveis, mas decodeLayerImageData espera uma propriedade memoryLimit com nome diferente, passando portanto um limite indefinido para createImageDataBitDepth. Um atacante que possa fornecer um arquivo PSD a um aplicativo com decodificação de camadas habilitada pode usar dimensões de camada controladas pelo atacante para acionar uma alocação maior do que o limite configurado, causando exaustão da memória do processo e negação de serviço (DoS). O advisory também identifica inflateSync(compressed) descomprimindo dados de canal codificados em ZIP sem um limite máximo de tamanho de saída, o que pode causar uma negação de serviço semelhante por meio de descompressão ilimitada. Esta vulnerabilidade foi corrigida na versão 31.0.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.