JVNDB-2026-009008

DiceBearにおける不正な正規表現に関する脆弱性

DiceBearはデザイナーや開発者向けのアバターライブラリです。バージョン9.4.2以前の`@dicebear/converter`における`ensureSize()`関数は、正規表現を用いてSVGの`width`/`height`属性を書き換え、サービス拒否攻撃を防ぐためにサイズを最大2048ピクセルに制限していました。しかし、このサイズ制限は、SVG入力で正規表現が実際のSVGルート要素の前の非機能的な`svg`の出現にマッチするように細工したことで回避可能でした。その後、Node.jsコードパス上の`@resvg/resvg-js`でSVGがレンダリングされると、攻撃者が指定したサイズでレンダリングされ、メモリ不足によるクラッシュを引き起こす可能性があります。バージョン9.4.2では、正規表現ベースの手法が`fast-xml-parser`を用いたXML対応処理に置き換えられ、SVGルート要素の属性を正しく特定し修正するようになりました。さらに、防御層を強化するために、`renderAsync`呼び出しに`fitTo`制約が追加され、SVGの内容にかかわらずレンダリング出力が常に制限されるようになっています。

DiceBear

• DiceBear 9.4.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : SVG Dimension Capping Bypass via XML Comment Injection in @dicebear/converter ensureSize()  Advisory  dicebear/dicebear  GitHub

1. 不正な正規表現(CWE-185) [その他]

1. CVE-2026-33418

1. National Vulnerability Database (NVD) : CVE-2026-33418

• [2026年03月27日]
    掲載