CVE-2026-33418

DiceBear dizaynerlər və tərtibatçılar üçün avatar kitabxanasıdır. Versiya 9.4.2-dək `@dicebear/converter` paketindəki `ensureSize()` funksiyası, xidmətdən imtinanı (DoS) önləmək üçün SVG `width`/`height` atributlarını yenidən yazmaq və onları maksimum 2048px ilə məhdudlaşdırmaq üçün reqeksə əsaslanan yanaşmadan istifadə edirdi. Bu ölçü məhdudiyyətini, reqeksin əsl SVG kök elementindən əvvəl `<svg` ifadəsinin funksional olmayan nümunəsini tapmasına səbəb olan xüsusi hazırlanmış SVG girişi vasitəsilə yan keçmək mümkün idi. SVG daha sonra Node.js kod yolu üzrə `@resvg/resvg-js` vasitəsilə render edildikdə, hücumçunun təyin etdiyi ölçülərdə render olunur ki, bu da potensial olaraq yaddaşın dolması (out-of-memory) səbəbindən sistemin çökməsinə gətirib çıxarır. Versiya 9.4.2-də reqeksə əsaslanan yanaşma, SVG kök elementinin atributlarını düzgün müəyyən etmək və dəyişdirmək üçün `fast-xml-parser` istifadə edən XML-fərqində emal prosesi ilə əvəz edilmişdir. Əlavə olaraq, dərinlikli müdafiə tədbiri kimi `renderAsync` çağırışına `fitTo` məhdudiyyəti əlavə edilmişdir ki, bu da SVG məzmunundan asılı olmayaraq render edilmiş nəticənin həmişə məhdud olduğunu təmin edir.