CVE-2026-68921
Təsvir
DiceBear dizaynerlər və tərtibatçılar üçün avatar kitabxanasıdır. Versiya 9.4.3-dən əvvəl, @dicebear/core paketindəki packages/@dicebear/core/src/utils/svg.ts faylında yerləşən addRotate funksiyasında rotate seçimi XML escape edilmədən SVG transform atributuna daxil edilir; eyni şəkildə @dicebear/initials paketinin packages/@dicebear/initials/src/index.ts faylında fontSize və fontWeight dəyərləri escape edilmədən ötürülür. Runtime çağırışları zamanı TypeScript-də rəqəm tipli olsa belə, sətirlər ötürülə bilər ki, bu da atributlardan çıxmağa və ixtiyari SVG markapının inyeksiya edilməsinə şərait yaradır. Yaradılmış avatar səhifəyə inline olaraq daxil edildikdə və ya image/svg+xml kimi təqdim olunub birbaşa açıldıqda, skript səhifənin mənşəyində (origin) icra oluna bilər, lakin istismar üçün tətbiqin etibarsız dəyərləri normalda tərtibatçı tərəfindən idarə olunan bu seçimlərə ötürməsi tələb olunur. Bu problem @dicebear/core və @dicebear/initials versiya 9.4.3-də düzəldilmişdir.
Necə düzəltmək olar
- @dicebear/core9.4.3 və ya daha yeni versiya
- @dicebear/initials9.4.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| @dicebear/corenpm | v < 9.4.3 | 9.4.3 |
| @dicebear/initialsnpm | v < 9.4.3 | 9.4.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.