CVE-2026-59991

WysokieCVSS 7.5

Opublikowano: 22/09/2026(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 23/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.52%

Percentyl 41 - wyżej niż 41% wszystkich znanych CVE

Streszczenie

psd-tools to pakiet Pythona do pracy z plikami Adobe Photoshop PSD. Przed wersją 1.17.4 metody PSDImage.composite() i PSDImage.numpy() alokowały bufory wyjściowe na podstawie geometrii nagłówka PSD kontrolowanej przez atakującego, w tym szerokości, wysokości, kanałów, głębi i prostokątów warstw, przed walidacją tych wartości względem dostępnych danych pliku. Mały spreparowany plik PSD mógł zatem spowodować alokację pamięci rzędu wielu gigabajtów, a PSDImage.composite() mogło zwrócić czarny obraz zamiast zgłosić wyjątek. Usługi przetwarzające niezaufane pliki PSD mogą zostać zakończone przez obsługę braku pamięci. Problem naprawiono w wersji 1.17.4.

Ocena ryzyka

Może dojść do wyczerpania pamięci i zakończenia usług przetwarzających niezaufane pliki PSD, co prowadzi do odmowy usługi.

Rekomendacja

Należy zaktualizować psd-tools do wersji 1.17.4 lub nowszej.

Inne podatności w psd-tools

CVE-2026-49836Średnie
psd-tools, pakiet Pythona do pracy z plikami Adobe Photoshop PSD, przed wersją 1.17.1 pozwala na zapis osadzonego smart obiektu do ścieżki pobranej wprost z pliku PSD. Ponieważ nazwa jest kontrolowana przez atakującego i nieoczyszczona, narzędzie wyodrębniające obiekty z niezaufanego pliku .psd może zapisać wybrane przez atakującego bajty w wybranej ścieżce (bezwzględnej lub z przejściem ../), poza docelowym katalogiem. Dodatkowy problem w SmartObject.open() dla zewnętrznych smart obiektów pozwala użyć kontrolowanego deskryptora fullPath jako ścieżki dowolnego odczytu pliku, umożliwiając eksfiltrację odczytanej zawartości do kontrolowanego miejsca zapisu. Oba problemy naprawiono w wersji 1.17.1.

Oryginalny opis (angielski, źródło NVD)

psd-tools is a Python package for working with Adobe Photoshop PSD files. Prior to 1.17.4, PSDImage.composite() and PSDImage.numpy() allocated output buffers from attacker-controlled PSD header geometry, including width, height, channels, depth, and per-layer rectangles, before validating those values against the available file data. A tiny crafted PSD could therefore cause multi-gigabyte memory allocation, and PSDImage.composite() could return a black image with only a warning instead of raising an exception. Services that composite untrusted PSD files could be terminated by out-of-memory handling. This issue is fixed in version 1.17.4.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS