CVE-2026-27809: psd-tools: ValueError não tratado na descompressão RLE de arquivos PSD

Visão geral

O psd-tools é um pacote Python para trabalhar com arquivos PSD do Adobe Photoshop. De acordo com os dados do aviso, dados de imagem com compressão RLE malformados causam um ValueError não capturado no caminho de decodificação, e um fallback existente, destinado a tratar canais com falha, nunca era alcançado. A correção está na versão 1.12.2.

Impacto

Confirmado: o erro chega ao usuário e pode travar operações de psd.composite() e de exportação do psd-tools.
Confirmado: a NVD atribui pontuação base CVSS de 9.1, com alto impacto em integridade e disponibilidade e sem impacto em confidencialidade no vetor listado.
Confirmado: o GitHub atribui pontuação CVSS 4 de 6.8.
Inferência: a negação de serviço em pipelines que processam arquivos PSD não confiáveis é a consequência mais direta descrita.
Desconhecido: o registro lista o CWE-190 (Integer Overflow or Wraparound), mas a descrição foca em uma exceção não tratada, então a relação entre o CWE e o defeito não é explicada pelas fontes.

Produtos e versões afetadas

Psd-tools Psd-tools: anteriores à 1.12.2.
Psd-tools Project Psd-tools: anteriores à 1.12.2.
Versão corrigida: 1.12.2.

Status de exploração

O registro indica que esta CVE não está listada no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. O registro informa valor de exploração none no SSVC e probabilidade EPSS de 0.00768, com percentil de 0.551. Uma referência está marcada como Exploit no registro, mas essa marcação, por si só, não comprova exploração em ambientes reais.

Correção e mitigação

Atualize o psd-tools para a versão 1.12.2 ou posterior, que contém a correção citada no aviso.
Até que a atualização seja aplicada, trate arquivos PSD de origem não confiável com cautela.
Execute tarefas de composição e exportação sobre arquivos não confiáveis em ambientes isolados, para que uma falha não afete outros serviços.

Detecção

Monitore os logs de processamento de PSD em busca de exceções ValueError lançadas por funções de decodificação e de falhas repetidas em tarefas de composição ou exportação.
Como o fallback substitui canais com falha por pixels pretos, algumas saídas podem conter regiões pretas inesperadas em vez de um erro. Revise saídas de entradas não confiáveis com esse padrão em mente.

Limitações das informações disponíveis

O título menciona lacunas de hardening, mas o registro não as descreve, então o escopo é desconhecido.
O registro não informa a lista completa de versões abaixo de 1.12.2, além do limite superior indicado.
Não está claro, nas fontes, se a pontuação CVSS 4 do GitHub ou a pontuação CVSS da NVD é a classificação principal em todos os contextos.
As fontes consultadas não apresentam provas de conceito independentes nem relatos de ataques reais.

Fontes: Aviso de segurança do GitHub GHSA-24p2-j2jr-386w, commit da correção, notas de lançamento, registro na NVD.

Perguntas frequentes

Quais versões do psd-tools são afetadas pela CVE-2026-27809?

O registro indica que as versões anteriores à 1.12.2 são afetadas. A correção está na versão 1.12.2.

Há exploração ativa conhecida para esta vulnerabilidade?

O registro mostra que a CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

Qual é a principal consequência do defeito?

Um ValueError não capturado pode chegar ao usuário e travar operações de composição ou exportação, o que caracteriza um impacto de negação de serviço nos fluxos de processamento.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.