CVE-2026-33311

DiceBear dizaynerlər və tərtibatçılar üçün avatar kitabxanasıdır. Versiya 5.0.0-dan başlayaraq və 5.4.4, 6.1.4, 7.1.4, 8.0.3 və 9.4.1 versiyalarından əvvəlki versiyalarda, istifadəçi tərəfindən təmin edilən seçimlərdən (`backgroundColor`, `fontFamily`, `textColor`) törəyən SVG atribut dəyərləri SVG çıxışına interpolasiya edilməzdən əvvəl XML formatında escape edilməmişdir. Bu, tətbiqlər etibarsız giriş məlumatlarını `createAvatar()` funksiyasına ötürdükdə və nəticədə alınan SVG-ni inline olaraq və ya `Content-Type: image/svg+xml` ilə təqdim etdikdə saytlararası skriptinq (XSS) zəifliyinə yol aça bilər. 5.4.4, 6.1.4, 7.1.4, 8.0.3 və 9.4.1 versiyalarından başlayaraq bütün təsirlənən SVG atribut dəyərləri XML entity kodlaşdırılması vasitəsilə düzgün şəkildə escape edilir. İstifadəçilər sadalanan yamaqlı versiyalara yüksəltmə etməlidirlər. Bəzi yumşaldıcı amillər zəifliyi məhdudlaşdırır. Giriş məlumatlarını `createAvatar()` funksiyasına ötürməzdən əvvəl kitabxananın JSON Schema-sı ilə yoxlayan tətbiqlər təsirlənmir. DiceBear CLI girişi AJV vasitəsilə yoxlayır və zəifliyə malik deyildi. Eksploytasiya üçün tətbiqin etibarsız, yoxlanılmamış xarici giriş məlumatlarını birbaşa seçim dəyərləri kimi ötürməsi tələb olunur.