CVE-2026-48054

WysokieCVSS 8.8

Opublikowano: 06/08/2026(UTC)Zaktualizowano: 14/09/2026(UTC)Przetłumaczono: 15/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.45%

Percentyl 38 - wyżej niż 38% wszystkich znanych CVE

Streszczenie

OpenZeppelin Contracts Wizard to aplikacja webowa do interaktywnego budowania kontraktów z komponentów OpenZeppelin Contracts. W wersjach przed 0.10.9 generowany jest plik testowy Hardhat (test/test.ts) poprzez interpolację danych od użytkownika opts.name (ERC20/ERC721) i opts.uri (ERC1155) bezpośrednio do literałów tekstowych TypeScript w zip-hardhat.ts:48 i :50 bez żadnego escapowania. Nie jest wymagane uwierzytelnienie: atakujący tworzy URL i udostępnia go deweloperowi; gdy ofiara pobierze archiwum zip i uruchomi npx hardhat test, wstrzyknięty kod Node.js wykona się z uprawnieniami lokalnego systemu operacyjnego dewelopera.

Ocena ryzyka

Deweloper uruchamiający testy może nieświadomie wykonać dowolny kod atakującego na swoim komputerze, co prowadzi do pełnego przejęcia stacji roboczej.

Rekomendacja

Zaktualizuj OpenZeppelin Contracts Wizard do wersji 0.10.9, która naprawia podatność.

Inne podatności w OpenZeppelin Contracts Wizard

CVE-2026-57583Niskie
OpenZeppelin Contracts Wizard przed wersjami @openzeppelin/wizard 0.10.11, wizard-cairo 3.0.1, wizard-stellar 0.6.2 i wizard-stylus 0.3.1 w ścieżce setInfo wstawia info.securityContact i info.license dosłownie do komentarzy jednoliniowych w generowanym kodzie. Terminator linii kończy komentarz, przez co dalsze dane wejściowe są emitowane jako deklaracje źródłowe.

Oryginalny opis (angielski, źródło NVD)

OpenZeppelin Contracts Wizard is a web application to interactively build a contract out of components from OpenZeppelin Contracts. Versions prior to 0.10.9 generate a Hardhat test file (`test/test.ts`) by interpolating user-supplied `opts.name` (ERC20/ERC721) and `opts.uri` (ERC1155) directly into TypeScript string literals at `zip-hardhat.ts:48` and `:50` without any JavaScript string escaping. No authentication is required: an attacker crafts a URL such as `https[:]//wizard[.]openzeppelin[.]com/#/erc20?name=");require("child_process").execSync("...");("` and shares it with a developer. When the victim downloads the resulting zip archive and runs `npx hardhat test`, the injected Node.js code executes with the developer's local OS privileges. Version 0.10.9 fixes the issue.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS