JVNDB-2026-009018

DiceBearにおけるクロスサイトスクリプティングの脆弱性

DiceBearはデザイナーと開発者向けのアバターライブラリです。バージョン5.0.0から、バージョン5.4.4、6.1.4、7.1.4、8.0.3、9.4.1より前のバージョンでは、ユーザー提供のオプション（`backgroundColor`、`fontFamily`、`textColor`）に由来するSVG属性値がSVG出力に挿入される前にXMLエスケープされていませんでした。これにより、アプリケーションが未検証の入力を`createAvatar()`に渡し、生成されたSVGをインラインまたは`Content-Type: image/svg+xml`として提供すると、クロスサイトスクリプティング（XSS）が発生する可能性がありました。バージョン5.4.4、6.1.4、7.1.4、8.0.3、9.4.1以降では、影響を受けるすべてのSVG属性値が適切にXMLエンティティエンコードでエスケープされるようになりました。ユーザーはリストアップされた修正済みバージョンへのアップグレードを推奨します。脆弱性を制限するいくつかの緩和策があります。ライブラリのJSONスキーマに対して入力を検証してから`createAvatar()`に渡すアプリケーションは影響を受けません。DiceBear CLIはAJVによる入力検証を行っており、脆弱ではありません。悪用するには、アプリケーションが信頼できない未検証の外部入力を直接オプション値として渡す必要があります。

DiceBear

• DiceBear 5.0.0 以上 5.4.4 未満
• DiceBear 6.0.0 以上 6.1.4 未満
• DiceBear 7.0.0 以上 7.1.4 未満
• DiceBear 8.0.0 以上 8.0.3 未満
• DiceBear 9.0.0 以上 9.4.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : SVG Injection via Unsanitized Options in @dicebear/core and @dicebear/initials  Advisory  dicebear/dicebear  GitHub

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-33311

1. National Vulnerability Database (NVD) : CVE-2026-33311

• [2026年03月27日]
    掲載