CVE-2026-63635

Nome do Software Vulnerável e Versões Afetadas OpenImageIO versões anteriores a 3.0.21.0 OpenImageIO versões anteriores a 3.1.16.0 OpenImageIO versões anteriores a 3.2.0.3-beta1

Description Um arquivo PSD manipulado contendo um color mode inválido pode ignorar a validação normal quando oiio:rawcolor ou psd:rawdata estiverem habilitados. A função PSDInput::setup() utiliza esse valor controlado pelo invasor para indexar tabelas fixas de modo de cor, causando uma leitura global fora dos limites (out-of-bounds read) e, potencialmente, uma alocação falsa, resultando em negação de serviço. O problema está localizado em src/psd.imageio/psdinput.cpp e envolve as funções PSDInput::validate header() e PSDInput::setup(), bem como as variáveis color mode e mode channel count.

Recommendations Atualizar para a versão 3.0.21.0. Atualizar para a versão 3.1.16.0. Atualizar para a versão 3.2.0.3-beta1.