CVE-2026-59991

Nome do Software Vulnerável e Versões Afetadas psd-tools versões anteriores a 1.17.4

Description Existe um problema onde as funções PSDImage.composite() e PSDImage.numpy() alocam buffers de saída com base na geometria especificada no cabeçalho do PSD — incluindo largura, altura, canais, profundidade e retângulos por camada — antes de validar esses valores em relação aos dados reais do arquivo. Um arquivo PSD pequeno e especialmente manipulado pode desencadear alocações de memória de vários gigabytes. No caso de PSDImage.composite(), a função pode retornar uma imagem preta apenas com um aviso em vez de lançar uma exceção, impedindo que o chamador detecte a falha. Isso pode levar a uma negação de serviço onde serviços que processam arquivos PSD não confiáveis são encerrados pelo gerenciamento de falta de memória (OOM).

Recommendations Atualizar para a versão 1.17.4.