CVE-2026-63501 in ag-psd
Сводка
по VulDB • 03.11.2026
ag-psd — это библиотека JavaScript для чтения и записи файлов документов Photoshop (PSD). До версии 31.0.3 функция readPsd() принимает параметр totalMemoryLimit при разборе недоверенных PSD-файлов, однако decodeLayerImageData ожидает свойство с другим именем memoryLimit, в результате чего неопределённое значение предела передаётся функции createImageDataBitDepth. Атакующий, способный предоставить PSD-файл приложению с включённым декодированием слоёв, может использовать контролируемые им размеры слоёв для вызова выделения памяти, превышающего настроенный предел, что приводит к исчерпанию памяти процесса и отказу в обслуживании (DoS). В рекомендациях по безопасности также указывается на проблему: функция inflateSync(compressed) распаковывает ZIP-кодированные данные каналов без ограничения размера выходных данных, что может вызвать аналогичное состояние отказа в обслуживании из-за неограниченной декомпрессии. Эта уязвимость исправлена в версии 31.0.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.