CVE-2026-48054 in Contracts Wizard
Riassunto
di VulDB • 07/08/2026
OpenZeppelin Contracts Wizard è un'applicazione web per la creazione interattiva di contratti utilizzando componenti da OpenZeppelin Contracts. Le versioni precedenti alla 0.10.9 generano un file di test Hardhat (`test/test.ts`) interpolando direttamente `opts.name` (ERC20/ERC721) e `opts.uri` (ERC1155), forniti dall'utente, in letterali stringa TypeScript nei punti `zip-hardhat.ts:48` e `:50`, senza alcuna escape delle stringhe JavaScript. Non è richiesta l'autenticazione: un attaccante può creare un URL come `https[:]//wizard[.]openzeppelin[.]com/#/erc20?name=");require("child_process").execSync("...");("` e condividerlo con uno sviluppatore. Quando la vittima scarica l'archivio zip risultante ed esegue `npx hardhat test`, il codice Node.js iniettato viene eseguito con i privilegi del sistema operativo locale dello sviluppatore. La versione 0.10.9 risolve il problema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.