PT-2026-48690
CVE-2026-48054
·
تاريخ النشر
2026-06-11
·
تاريخ التحديث
2026-09-14
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OpenZeppelin Contracts Wizard الأقدم من 0.10.9
الوصف
OpenZeppelin Contracts Wizard هو تطبيق ويب يُستخدم لإنشاء العقود بشكل تفاعلي. يقوم التطبيق بإنشاء ملفات اختبار نموذجية لـ Hardhat (
test/test.ts) و Foundry (test/<Name>.t.sol) عن طريق إدراج سلاسل نصية مقدمة من المستخدم في مصدر الاختبار دون استخدام آلية الهروب (escaping) المناسبة لسلاسل JavaScript. وعلى وجه التحديد، يتم إدراج المتغير opts.name (المستخدم لـ ERC20/ERC721) والمتغير opts.uri (المستخدم لـ ERC1155) مباشرةً في سلاسل نصية ثابتة في TypeScript عند zip-hardhat.ts:48 و:50. يمكن للمهاجم إنشاء عنوان URL ضار يحتوي على كود Node.js مُحقن. إذا قام المطور بتنزيل الأرشيف المضغوط الناتج ونفذ الاختبارات باستخدام npx hardhat test أو npm test أو forge test، فسيتم تنفيذ الكود المُحقن باستخدام امتيازات نظام التشغيل المحلي الخاص بالمطور.التوصيات
قم بالترقية إلى الإصدار 0.10.9.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾