CVE-2026-33311

DiceBear, tasarımcılar ve geliştiriciler için bir avatar kütüphanesidir. Versiyon 5.0.0 ile başlayıp 5.4.4, 6.1.4, 7.1.4, 8.0.3 ve 9.4.1 versiyonlarından önceki sürümlerde, kullanıcı tarafından sağlanan seçeneklerden (`backgroundColor`, `fontFamily`, `textColor`) türetilen SVG öznitelik değerleri, SVG çıktısına eklenmeden önce XML-escape işlemine tabi tutulmamaktaydı. Bu durum, uygulamaların güvenilmeyen girdileri `createAvatar()` fonksiyonuna aktarması ve sonuçtaki SVG'yi satır içi olarak veya `Content-Type: image/svg+xml` ile sunması durumunda siteler arası betik çalıştırma (XSS) riskine yol açabilir. 5.4.4, 6.1.4, 7.1.4, 8.0.3 ve 9.4.1 versiyonları itibarıyla, etkilenen tüm SVG öznitelik değerleri XML varlık kodlaması kullanılarak uygun şekilde escape edilmektedir. Kullanıcıların listelenen yamalı versiyonlara yükseltme yapması önerilir. Bazı hafifletici faktörler güvenlik açığını sınırlandırmaktadır. Girdileri `createAvatar()` fonksiyonuna aktarmadan önce kütüphanenin JSON Şemasına göre doğrulayan uygulamalar etkilenmemektedir. DiceBear CLI, girdileri AJV aracılığıyla doğruladığı için savunmasız değildir. İstismar edilmesi için uygulamanın, güvenilmeyen ve doğrulanmamış harici girdileri doğrudan seçenek değerleri olarak aktarması gerekmektedir.