CVE-2026-49836

psd-tools, Adobe Photoshop PSD dosyalarıyla çalışmak için kullanılan bir Python paketidir. Versiyon 1.17.1 öncesinde, `SmartObject.save()` gömülü bir akıllı nesneyi doğrudan PSD dosyasından alınan bir yola yazar. Bu isim saldırgan tarafından kontrol edilebildiği ve temizlenmediği için, güvenilmeyen bir `.psd` dosyasından gömülü nesneleri çıkaran bir araç, belirlenen çıktı dizininin dışındaki saldırgan tarafından seçilen bir yola (mutlak veya `../`-geçişli) saldırgan tarafından seçilen baytların yazmasına neden olabilir. Harici türdeki akıllı nesneler için `SmartObject.open()` fonksiyonundaki ikincil bir sorun, saldırgan tarafından kontrol edilen `fullPath` tanımlayıcısının rastgele bir dosya okuma yolu olarak kullanılmasına izin vererek, okunan içeriğin kontrol edilen yazma hedefine sızdırılmasını sağlar. Her iki sorun da v1.17.1 sürümünde düzeltilmiştir.