CVE-2023-40014
Açıklama
OpenZeppelin Contracts, güvenli akıllı sözleşme geliştirme için bir kütüphanedir. Versiyon 4.0.0'dan başlayarak versiyon 4.9.3 öncesine kadar olan sürümlerde, özel bir güvenilir yönlendirici ile birlikte `ERC2771Context` kullanan sözleşmelerde, yönlendiriciden gelen ve calldata uzunluğu 20 bayttan kısa olan çağrılarda `_msgSender` fonksiyonunun `address(0)` döndürdüğü görülebilir. Bu koşulların kombinasyonunun yaygın olmadığı görülmektedir; özellikle imzalayıcı adresinin bu yönlendiricilerden gelen tüm çağrılara eklendiği göz önüne alındığında, durum OpenZeppelin Contracts bünyesindeki `MinimalForwarder` veya ekibin bildiği herhangi bir dağıtılmış yönlendirici için geçerli değildir. Sorun v4.9.3 sürümünde giderilmiştir.
Nasıl düzeltilir
- openzeppelin openzeppelin_contracts4.9.3 ya da sonraki bir sürüm
- openzeppelin openzeppelin_contracts-upgradable4.9.3 ya da sonraki bir sürüm
- @openzeppelin/contracts4.9.3 ya da sonraki bir sürüm
- @openzeppelin/contracts-upgradeable4.9.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openzeppelin openzeppelin_contracts | 4.0.0 ≤ v < 4.9.3 | 4.9.3 |
| openzeppelin openzeppelin_contracts-upgradable | 4.0.0 ≤ v < 4.9.3 | 4.9.3 |
| @openzeppelin/contractsnpm | 4.0.0 ≤ v < 4.9.3 | 4.9.3 |
| @openzeppelin/contracts-upgradeablenpm | 4.0.0 ≤ v < 4.9.3 | 4.9.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.