CVE-2026-57583

NiskieCVSS 3.3

Opublikowano: 14/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 15/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

OpenZeppelin Contracts Wizard przed wersjami @openzeppelin/wizard 0.10.11, wizard-cairo 3.0.1, wizard-stellar 0.6.2 i wizard-stylus 0.3.1 w ścieżce setInfo wstawia info.securityContact i info.license dosłownie do komentarzy jednoliniowych w generowanym kodzie. Terminator linii kończy komentarz, przez co dalsze dane wejściowe są emitowane jako deklaracje źródłowe.

Ocena ryzyka

Jeśli integracja wypełnia te pola niezaufanymi danymi, wygenerowany kod może zawierać wstrzyknięte deklaracje, co narusza integralność generowanego źródła. Normalne użycie web, CLI i API nie przekracza tej granicy zaufania.

Rekomendacja

Zaktualizuj pakiety do wersji 0.10.11, 3.0.1, 0.6.2 lub 0.3.1. Upewnij się, że pola securityContact i license nie są wypełniane niezaufanymi danymi w integracjach.

Inne podatności w OpenZeppelin Contracts Wizard

CVE-2026-48054Wysokie
OpenZeppelin Contracts Wizard to aplikacja webowa do interaktywnego budowania kontraktów z komponentów OpenZeppelin Contracts. W wersjach przed 0.10.9 generowany jest plik testowy Hardhat (test/test.ts) poprzez interpolację danych od użytkownika opts.name (ERC20/ERC721) i opts.uri (ERC1155) bezpośrednio do literałów tekstowych TypeScript w zip-hardhat.ts:48 i :50 bez żadnego escapowania. Nie jest wymagane uwierzytelnienie: atakujący tworzy URL i udostępnia go deweloperowi; gdy ofiara pobierze archiwum zip i uruchomi npx hardhat test, wstrzyknięty kod Node.js wykona się z uprawnieniami lokalnego systemu operacyjnego dewelopera.

Oryginalny opis (angielski, źródło NVD)

OpenZeppelin Contracts Wizard is a web application to interactively build a contract out of components from OpenZeppelin Contracts. Prior to @openzeppelin/wizard 0.10.11, @openzeppelin/wizard-cairo 3.0.1, @openzeppelin/wizard-stellar 0.6.2, and @openzeppelin/wizard-stylus 0.3.1, the setInfo code path prints info.securityContact and info.license verbatim into single-line comments in generated Solidity, Cairo, Stellar/Soroban, and Stylus source. A line terminator ends the comment and causes following input to be emitted as source declarations. Exploitation requires an integration to populate these fields from untrusted input and a user to consume the generated source; normal self-service web, AI assistant, CLI, and self-hosted API use does not cross that trust boundary, shared links cannot set the fields, and no code executes on a Wizard service. This issue affects generated-source integrity only and is fixed in versions 0.10.11, 3.0.1, 0.6.2, and 0.3.1 of the respective packages.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS