CVE-2023-23940
Təsvir
OpenZeppelin Contracts for Cairo, mərkəzləşdirilməmiş ZK Rollup olan StarkNet üçün Cairo dilində yazılmış təhlükəsiz smart kontraktların hazırlanması kitabxanasıdır. `is_valid_eth_signature` funksiyasında `verify_eth_signature` çağırıldıqdan sonra `finalize_keccak` çağırışı çatışmır. Nəticədə, hesab kitabxanasından (məsələn, `EthAccount` preset kimi) `is_valid_eth_signature` istifadə edən hər hansı kontrakt bədniyyətli sekvenserə qarşı həssasdır. Xüsusilə, bədniyyətli sekvenser bu hesabların nümunələrini təqlid etmək üçün imza yoxlamasını yan keçə bilər. Problem 0.6.1 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- openzeppelin contracts0.6.1 və ya daha yeni versiya
- openzeppelin-cairo-contracts0.6.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| openzeppelin contracts | 0.2.0 ≤ v < 0.6.1 | 0.6.1 |
| openzeppelin-cairo-contractsPyPI | 0.2.0 ≤ v < 0.6.1 | 0.6.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.