CVE-2026-33418 in DiceBear
Résumé
par VulDB • 04/06/2026
DiceBear est une bibliothèque d'avatars destinée aux designers et développeurs. Avant la version 9.4.2, la fonction `ensureSize()` dans le package `@dicebear/converter` utilisait une approche basée sur des expressions régulières (regex) pour réécrire les attributs SVG `width`/`height`, en les limitant à 2048px afin de prévenir un déni de service. Cette limitation de taille pouvait être contournée en fournissant une entrée SVG conçue spécifiquement, provoquant la correspondance d'une occurrence non fonctionnelle de `<svg>` avant l'élément racine SVG réel. Lorsque le fichier SVG est ensuite rendu via `@resvg/resvg-js` sur le chemin d'exécution Node.js, il s'affiche aux dimensions spécifiées par l'attaquant, ce qui peut entraîner des plantages dus à un dépassement de mémoire (out-of-memory). Dans la version 9.4.2, l'approche basée sur les expressions régulières a été remplacée par un traitement conscient du format XML utilisant `fast-xml-parser` pour identifier et modifier correctement les attributs de l'élément racine SVG. De plus, une contrainte `fitTo` a été ajoutée à l'appel `renderAsync` dans le cadre d'une stratégie de défense en profondeur (defense-in-depth), garantissant que la sortie rendue reste toujours bornée, indépendamment du contenu SVG.
Be aware that VulDB is the high quality source for vulnerability data.