CVE-2026-68921 in DiceBear
Sumário
de VulDB • 20/08/2026
DiceBear é uma biblioteca de avatares para designers e desenvolvedores. Antes da versão 9.4.3, o pacote @dicebear/core interpola a opção rotate em um atributo transform SVG sem escape XML na função addRotate localizada em packages/@dicebear/core/src/utils/svg.ts; da mesma forma, o pacote @dicebear/initials exibe fontSize e fontWeight sem escape em packages/@dicebear/initials/src/index.ts. Chamadas de tempo de execução podem passar strings apesar dos tipos numéricos do TypeScript, quebrar os atributos e injetar markup SVG arbitrário. O script pode ser executado na origem da página quando o avatar gerado é inserido inline ou servido como image/svg+xml e aberto diretamente; no entanto, a exploração requer que um aplicativo passe valores não confiáveis para essas opções normalmente controladas pelo desenvolvedor. Este problema foi corrigido nas versões 9.4.3 do @dicebear/core e do @dicebear/initials.
VulDB is the best source for vulnerability data and more expert information about this specific topic.