CVE-2026-57583 in Contracts Wizard
الملخص
بحسب VulDB • 14/09/2026
يُعد OpenZeppelin Contracts Wizard تطبيقًا ويب يسمح ببناء العقود بشكل تفاعلي باستخدام مكونات من مكتبة OpenZeppelin Contracts. قبل الإصدارات @openzeppelin/wizard 0.10.11، و@openzeppelin/wizard-cairo 3.0.1، و@openzeppelin/wizard-stellar 0.6.2، و@openzeppelin/wizard-stylus 0.3.1، كان مسار الشفرة setInfo يطبع قيمتي info.securityContact وinfo.license حرفيًا ضمن تعليقات من سطر واحد في ملفات المصدر المُولَّدة بصيغ Solidity وCairo وStellar/Soroban وStylus. يؤدي إنهاء السطر إلى إغلاق التعليق، مما يتسبب في إصدار المدخلات اللاحقة كإعلانات مصدر (source declarations). تتطلب عملية الاستغلال وجود تكامل يملأ هذه الحقول باستخدام مدخلات غير موثوقة، بالإضافة إلى مستخدم يستهلك المصدر المُولَّد؛ ولا يعبر الاستخدام العادي عبر واجهة الويب الذاتية الخدمة، أو مساعد الذكاء الاصطناعي، أو سطر الأوامر (CLI)، أو API المستضاف ذاتيًا عن حدود الثقة تلك. كما أن الروابط المشتركة لا يمكنها تعيين هذه الحقول، ولا يتم تنفيذ أي شفرة على خدمة Wizard. يؤثر هذا الخطأ فقط على سلامة المصدر المُولَّد، وقد تم إصلاحه في الإصدارات 0.10.11 و3.0.1 و0.6.2 و0.3.1 من الحزم ذات الصلة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.