Dans ag-psd, une incohérence de nom entre l’option de limite mémoire et la propriété utilisée pour décoder les couches peut laisser sans effet la limite configurée lors de l’allocation des images. Les données fournies indiquent aussi une décompression ZIP sans plafond; la fiche mentionne une correction en 31.0.1, bien que le titre indique une vulnérabilité avant 31.0.3.
Source : CVE-2026-63501 — NVD
Analyse technique
Lors de la lecture de fichiers PSD non fiables avec décodage des couches activé, la limite totalMemoryLimit peut ne pas atteindre le décodeur; des dimensions contrôlées par l’attaquant peuvent provoquer une allocation excessive. Une décompression de données de canal ZIP sans limite de sortie est également signalée.
Impact, versions et correctif
Action recommandée
Vérifier la version corrigée dans l’avis du projet et mettre à niveau; limiter l’exposition au traitement de fichiers PSD non fiables jusqu’à confirmation de la version.
Sources
Priorisation DFS : P3 · 1 source(s).