CVE-2026-48054

Nome do Software Vulnerável e Versões Afetadas OpenZeppelin Contracts Wizard versões anteriores a 0.10.9

Description O OpenZeppelin Contracts Wizard é uma aplicação web utilizada para construir contratos de forma interativa. A aplicação gera arquivos de teste de exemplo do Hardhat (test/test.ts) e Foundry (test/<Name>.t.sol) interpolando strings fornecidas pelo usuário no código-fonte do teste sem o devido escape de strings JavaScript. Especificamente, a variável opts.name (usada para ERC20/ERC721) e a variável opts.uri (usada para ERC1155) são interpoladas diretamente em literais de string TypeScript em zip-hardhat.ts:48 e :50. Um invasor pode criar uma URL maliciosa contendo código Node.js injetado. Se um desenvolvedor baixar o arquivo zip resultante e executar os testes usando npx hardhat test, npm test ou forge test, o código injetado será executado com os privilégios do sistema operacional local do desenvolvedor.

Recommendations Atualizar para a versão 0.10.9.