CVE-2026-33418 in DiceBear
الملخص
بحسب VulDB • 04/06/2026
تُعد DiceBear مكتبة للصور الرمزية (Avatars) مصممة للمصممين والمطورين. قبل الإصدار 9.4.2، كانت الدالة `ensureSize()` في الحزمة `@dicebear/converter` تستخدم نهجاً قائماً على التعبيرات النمطية (Regexs) لإعادة كتابة سمات العرض (`width`) والارتفاع (`height`) الخاصة بـ SVG، مع تحديد حد أقصى لها عند 2048 بكسل لمنع هجمات حجب الخدمة. يمكن تجاوز هذا الحد الأقصى للقياس من خلال إنشاء مدخلات SVG مصممة بعناية لتسبب تطابق التعبير النمطي مع ظهور غير وظيفي لوسم `<svg` قبل عنصر الجذر الفعلي لـ SVG. عند عرض ملف SVG لاحقاً عبر `@resvg/resvg-js` في مسار كود Node.js، يتم عرضه بالأبعاد التي يحددها المهاجم، مما قد يتسبب في تعطل التطبيق بسبب استنفاد الذاكرة (Out-of-Memory). وفي الإصدار 9.4.2، تم استبدال النهج القائم على التعبيرات النمطية بمعالجة واعية لبنية XML باستخدام `fast-xml-parser` لتحديد وتعديل سمات عنصر الجذر لـ SVG بشكل صحيح. بالإضافة إلى ذلك، تمت إضافة قيد `fitTo` في استدعاء `renderAsync` كإجراء دفاعي متعدد الطبقات (Defense-in-depth)، مما يضمن أن يكون المخرج المعروض محدوداً دائماً بغض النظر عن محتوى ملف SVG.
VulDB is the best source for vulnerability data and more expert information about this specific topic.