CVE-2026-49836

psd-tools, Adobe Photoshop PSD faylları ilə işləmək üçün nəzərdə tutulmuş bir Python paketidir. Versiya 1.17.1-dən əvvəl, `SmartObject.save()` daxil edilmiş ağıllı obyekti (smart object) PSD faylından olduğu kimi götürülmüş yola yazır. Bu ad hücum edən tərəfindən idarə olunduğu və təmizlənmədiyi üçün, etibarsız `.psd` fayllarından daxil edilmiş obyektləri çıxaran alət, hücum edənin seçdiyi baytları onun təyin etdiyi yola (mütləq yol və ya `../`-keçidi vasitəsilə), nəzərdə tutulmuş çıxış kataloqunun xaricində yazmağa məcbur edilə bilər. Xarici növlü ağıllı obyektlər üçün `SmartObject.open()` funksiyasındakı ikinci problem, hücum edən tərəfindən idarə olunan `fullPath` deskriptorunun istənilən faylı oxuma yolu kimi istifadəsinə şərait yaradır ki, bu da oxunan məzmunun idarə olunan yazı təyinatına sızdırılmasını mümkün edir. Hər iki problem v1.17.1 versiyasında düzəldilmişdir.