CVE-2026-49836

ŚrednieCVSS 4.6

Opublikowano: 10/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 11/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

psd-tools, pakiet Pythona do pracy z plikami Adobe Photoshop PSD, przed wersją 1.17.1 pozwala na zapis osadzonego smart obiektu do ścieżki pobranej wprost z pliku PSD. Ponieważ nazwa jest kontrolowana przez atakującego i nieoczyszczona, narzędzie wyodrębniające obiekty z niezaufanego pliku .psd może zapisać wybrane przez atakującego bajty w wybranej ścieżce (bezwzględnej lub z przejściem ../), poza docelowym katalogiem. Dodatkowy problem w SmartObject.open() dla zewnętrznych smart obiektów pozwala użyć kontrolowanego deskryptora fullPath jako ścieżki dowolnego odczytu pliku, umożliwiając eksfiltrację odczytanej zawartości do kontrolowanego miejsca zapisu. Oba problemy naprawiono w wersji 1.17.1.

Ocena ryzyka

Przetwarzanie niezaufanych plików PSD może prowadzić do nadpisania dowolnych plików w systemie oraz do odczytu i eksfiltracji poufnych danych.

Rekomendacja

Zaktualizuj psd-tools do wersji 1.17.1 lub nowszej. Unikaj przetwarzania niezaufanych plików PSD w środowiskach o wysokich uprawnieniach.

Inne podatności w psd-tools

CVE-2026-59991Wysokie
psd-tools to pakiet Pythona do pracy z plikami Adobe Photoshop PSD. Przed wersją 1.17.4 metody PSDImage.composite() i PSDImage.numpy() alokowały bufory wyjściowe na podstawie geometrii nagłówka PSD kontrolowanej przez atakującego, w tym szerokości, wysokości, kanałów, głębi i prostokątów warstw, przed walidacją tych wartości względem dostępnych danych pliku. Mały spreparowany plik PSD mógł zatem spowodować alokację pamięci rzędu wielu gigabajtów, a PSDImage.composite() mogło zwrócić czarny obraz zamiast zgłosić wyjątek. Usługi przetwarzające niezaufane pliki PSD mogą zostać zakończone przez obsługę braku pamięci. Problem naprawiono w wersji 1.17.4.

Oryginalny opis (angielski, źródło NVD)

psd-tools is a Python package for working with Adobe Photoshop PSD files. Prior to version 1.17.1, `SmartObject.save()` writes an embedded smart object to a path taken verbatim from the PSD file. Because that name is attacker-controlled and unsanitised, a tool that extracts embedded objects from an untrusted `.psd` can be made to write attacker-chosen bytes to an attacker-chosen path (absolute or `../`-traversing), outside its intended output directory. A secondary issue in `SmartObject.open()` for external-kind smart objects allows the attacker-controlled `fullPath` descriptor to be used as an arbitrary file read path, enabling exfiltration of the read content to the controlled write destination. Both issues are fixed in v1.17.1.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS