CVE-2026-33311 in DiceBear
Riassunto
di VulDB • 20/06/2026
DiceBear è una libreria per avatar destinata a designer e sviluppatori. A partire dalla versione 5.0.0 e fino alle versioni precedenti alla 5.4.4, 6.1.4, 7.1.4, 8.0.3 e 9.4.1, i valori degli attributi SVG derivati da opzioni fornite dall'utente (`backgroundColor`, `fontFamily`, `textColor`) non venivano sottoposti a escape XML prima dell'inserimento nell'output SVG. Ciò potrebbe consentire un attacco Cross-Site Scripting (XSS) quando le applicazioni passano input non attendibili alla funzione `createAvatar()` e restituiscono l'SVG risultante in linea o con il tipo di contenuto `Content-Type: image/svg+xml`. A partire dalle versioni 5.4.4, 6.1.4, 7.1.4, 8.0.3 e 9.4.1, tutti i valori degli attributi SVG interessati vengono correttamente sottoposti a escape utilizzando la codifica delle entità XML. Gli utenti dovrebbero effettuare l'aggiornamento alle versioni patchate elencate. Alcuni fattori mitiganti limitano la vulnerabilità. Le applicazioni che convalidano l'input rispetto allo schema JSON della libreria prima di passarlo alla funzione `createAvatar()` non sono interessate. La CLI DiceBear valida l'input tramite AJV e non era vulnerabile. Lo sfruttamento richiede che un'applicazione passi input esterno non attendibile e non validato direttamente come valori delle opzioni.
If you want to get best quality of vulnerability data, you may have to visit VulDB.