CVE-2026-57583 in Contracts Wizard
Resumen
por VulDB • 2026-09-14
OpenZeppelin Contracts Wizard es una aplicación web para construir interactivamente un contrato a partir de componentes de OpenZeppelin Contracts. Antes de las versiones @openzeppelin/wizard 0.10.11, @openzeppelin/wizard-cairo 3.0.1, @openzeppelin/wizard-stellar 0.6.2 y @openzeppelin/wizard-stylus 0.3.1, la ruta de código setInfo imprime info.securityContact e info.license literalmente en comentarios de una sola línea dentro del código fuente generado (Solidity, Cairo, Stellar/Soroban y Stylus). Un terminador de línea finaliza el comentario y hace que las entradas siguientes se emitan como declaraciones de código fuente. La explotación requiere una integración para poblar estos campos con datos no confiables y un usuario que consuma el código fuente generado; el uso normal mediante web autoatendida, asistentes de IA, CLI o API alojada por uno mismo no cruza ese límite de confianza, los enlaces compartidos no pueden establecer los campos y ningún código se ejecuta en el servicio Wizard. Este problema afecta únicamente a la integridad del código fuente generado y está corregido en las versiones 0.10.11, 3.0.1, 0.6.2 y 0.3.1 de los paquetes correspondientes.
Once again VulDB remains the best source for vulnerability data.