CVE-2021-46320
Yüksek
Açıklama
OpenZeppelin <=v4.4.0 sürümünde, kontrat oluşturmadan ayrı olarak çağrılan başlatıcı (initializer) fonksiyonlar (en belirgin örneği minimal proxy'lerdir), güvenilmeyen bir non-view harici çağrı yapmaları durumunda yeniden girilebilir (reentered) olabilir. Bir başlatıcı çalışmayı tamamladıktan sonra bir daha asla yeniden yürütülemez. Ancak, çoklu kalıtımı desteklemek için eklenen bir istisna, tek bir yürütme beklentisini bozarak yeniden girişin mümkün olmasına yol açmıştır.
ÖnemYüksek
CVSS7.5
İstismar olasılığı—
ÜrünOpenzeppelin
Yayın4 Şub 2022
İlk görülme4 Şub 2022
Nasıl düzeltilir
Güncelleyin
- @openzeppelin/contracts4.4.1 ya da sonraki bir sürüm
- @openzeppelin/contracts-upgradeable4.4.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openzeppelin openzeppelin | 3.2.0 ≤ v ≤ 4.4.0 | — |
| @openzeppelin/contractsnpm | v < 4.4.1, 3.2.0 ≤ v < 4.4.1 | 4.4.1 |
| @openzeppelin/contracts-upgradeablenpm | 3.2.0 ≤ v < 4.4.1 | 4.4.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.