PT-2026-25842
CVE-2026-29112
·
تاريخ النشر
2026-03-16
·
تاريخ التحديث
2026-03-18
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات DiceBear السابقة للإصدار 9.4.0
الوصف
DiceBear هي مكتبة للأفاتار يستخدمها المصممون والمطورون. يوجد عيب في الدالة
ensureSize() داخل المكون @dicebear/converter، في الإصدارات السابقة للإصدار 9.4.0، حيث تقرأ السمتين width وheight من ملفات SVG المدخلة لتحديد حجم لوحة الرسم الناتجة لعمليات التحويل إلى صور نقطية مثل PNG وJPEG وWebP وAVIF. يمكن للمهاجم استغلال هذا الثغرة عن طريق تقديم ملف SVG مصمم خصيصًا بأبعاد كبيرة للغاية، مثل width=”999999999“. يمكن أن يؤدي هذا التلاعب إلى إجبار الخادم على تخصيص كمية مفرطة من الذاكرة، مما قد يؤدي إلى حالة رفض الخدمة. تؤثر هذه المشكلة بشكل أساسي على التطبيقات من جانب الخادم التي تعالج ملفات SVG غير موثوق بها أو مقدمة من المستخدم باستخدام دوال toPng() أو toJpeg() أو toWebp() أو toAvif() الخاصة بالمحول. وعلى الرغم من أن التطبيقات التي تقوم فقط بتحويل الصور الرمزية (أفاتار) التي تم إنشاؤها ذاتيًا بواسطة DiceBear لا يمكن استغلالها بسهولة، إلا أنه يُوصى بالترقية.التوصيات
يجب تحديث الإصدارات الأقدم من 9.4.0 إلى الإصدار 9.4.0 أو أحدث. إذا لم يكن التحديث الفوري ممكنًا، فقم بالتحقق من صحة سمات
width وheight لأي مدخلات SVG غير موثوق بها وتنقيتها قبل تمريرها إلى المحول.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾