CVE-2026-48054

OpenZeppelin Contracts Wizard, OpenZeppelin Contracts bileşenlerinden etkileşimli olarak sözleşme oluşturmaya yönelik bir web uygulamasıdır. 0.10.9 öncesi sürümler, kullanıcı tarafından sağlanan `opts.name` (ERC20/ERC721) ve `opts.uri` (ERC1155) değerlerini `zip-hardhat.ts:48` ve `:50` satırlarında herhangi bir JavaScript dize kaçışı yapmadan doğrudan TypeScript dize sabitlerine yerleştirerek bir Hardhat test dosyası (`test/test.ts`) üretir. Kimlik doğrulama gerekmez: bir saldırgan `https[:]//wizard[.]openzeppelin[.]com/#/erc20?name=");require("child_process").execSync("...");("` gibi bir URL hazırlayıp bunu bir geliştiriciyle paylaşır. Kurban ortaya çıkan zip arşivini indirip `npx hardhat test` komutunu çalıştırdığında, enjekte edilen Node.js kodu geliştiricinin yerel işletim sistemi ayrıcalıklarıyla çalışır. 0.10.9 sürümü bu sorunu giderir.