CVE-2026-33311 in DiceBear
Zusammenfassung
von VulDB • 10.05.2026
DiceBear ist eine Avatar-Bibliothek für Designer und Entwickler. Ab Version 5.0.0 und vor den Versionen 5.4.4, 6.1.4, 7.1.4, 8.0.3 und 9.4.1 wurden SVG-Attributwerte, die aus benutzerdefinierten Optionen (`backgroundColor`, `fontFamily`, `textColor`) abgeleitet wurden, vor der Interpolation in die SVG-Ausgabe nicht XML-escaped. Dies könnte Cross-Site Scripting (XSS) ermöglichen, wenn Anwendungen untrusted Input an `createAvatar()` übergeben und das resultierende SVG inline oder mit `Content-Type: image/svg+xml` ausliefern. Ab den Versionen 5.4.4, 6.1.4, 7.1.4, 8.0.3 und 9.4.1 werden alle betroffenen SVG-Attributwerte ordnungsgemäß durch XML-Entity-Encoding escaped. Benutzer sollten auf die aufgeführten gepatchten Versionen aktualisieren. Einige abschwächende Faktoren begrenzen die Schwachstelle. Anwendungen, die Input vor der Übergabe an `createAvatar()` gegen das JSON Schema der Bibliothek validieren, sind nicht betroffen. Die DiceBear CLI validiert Input über AJV und war nicht verwundbar. Die Ausnutzung erfordert, dass eine Anwendung untrusted, nicht validierten externen Input direkt als Optionwerte übergibt.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.