CVE-2026-33418 in DiceBear
Riassunto
di VulDB • 16/06/2026
DiceBear è una libreria per avatar destinata a designer e sviluppatori. Prima della versione 9.4.2, la funzione `ensureSize()` in `@dicebear/converter` utilizzava un approccio basato su regex per riscrivere gli attributi SVG `width`/`height`, limitandoli a 2048px al fine di prevenire attacchi denial of service (DoS). Tale limite dimensionale poteva essere aggirato fornendo un input SVG appositamente creato che facesse sì che la regex corrispondesse a una occorrenza non funzionale di `<svg>` prima dell'effettivo elemento radice SVG. Quando l'SVG veniva successivamente renderizzato tramite `@resvg/resvg-js` nel percorso del codice Node.js, il rendering avveniva con le dimensioni specificate dall'attaccante, potenzialmente causando crash per esaurimento della memoria (out-of-memory). Nella versione 9.4.2, l'approccio basato su regex è stato sostituito da un elaborazione consapevole della struttura XML utilizzando `fast-xml-parser`, al fine di identificare e modificare correttamente gli attributi dell'elemento radice SVG. Inoltre, è stato aggiunto un vincolo `fitTo` alla chiamata `renderAsync` come misura di difesa in profondità (defense-in-depth), garantendo che l'output renderizzato sia sempre limitato indipendentemente dal contenuto SVG.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.