CVE-2026-57583
Təsvir
OpenZeppelin Contracts Wizard, OpenZeppelin Contracts komponentlərindən interaktiv şəkildə kontrakt qurmaq üçün nəzərdə tutulmuş veb tətbiqdir. @openzeppelin/wizard 0.10.11, @openzeppelin/wizard-cairo 3.0.1, @openzeppelin/wizard-stellar 0.6.2 və @openzeppelin/wizard-stylus 0.3.1 versiyalarından əvvəl, setInfo kod yolu info.securityContact və info.license məlumatlarını generatsiya edilmiş Solidity, Cairo, Stellar/Soroban və Stylus mənbə kodlarında tək sətirlik şərhlərə olduğu kimi yazır. Sətir sonlandırıcı simvolu şərhini bitirir və növbəti girişin mənbə deklarasiyaları kimi ötürülməsinə səbəb olur. Bu boşluğun istismarı üçün həmin sahələrin etibarsız girişlərlə doldurulmasını təmin edən inteqrasiya və generatsiya edilmiş mənbə kodundan istifadə edən bir istifadəçi tələb olunur; standart özünəxidmət veb, süni intellekt assistenti, CLI və özünə aid host edilən API istifadəsi bu etibar sərhədini aşmır, paylaşılmış linklər vasitəsilə bu sahələr təyin edilə bilmir və Wizard xidmətində heç bir kod icra olunmur. Bu problem yalnız generatsiya edilmiş mənbə kodunun bütövlüyünə təsir göstərir və müvafiq paketlərin 0.10.11, 3.0.1, 0.6.2 və 0.3.1 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- @openzeppelin/wizard0.10.11 və ya daha yeni versiya
- @openzeppelin/wizard-cairo3.0.1 və ya daha yeni versiya
- @openzeppelin/wizard-stellar0.6.2 və ya daha yeni versiya
- @openzeppelin/wizard-stylus0.3.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| @openzeppelin/wizardnpm | v < 0.10.11 | 0.10.11 |
| @openzeppelin/wizard-caironpm | v < 3.0.1 | 3.0.1 |
| @openzeppelin/wizard-stellarnpm | v < 0.6.2 | 0.6.2 |
| @openzeppelin/wizard-stylusnpm | v < 0.3.1 | 0.3.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.