CVE-2025-47285 in Vyper
要約
〜によって VulDB • 2026年05月10日
Vyperは、Ethereum仮想マシン（EVM）向けのPython風のプログラミング言語です。バージョン0.4.2rc1以前において、`concat()`関数は引数の長さが0の場合、副作用の評価をスキップする可能性があります。これは、引数の長さが0のときに引数式の評価をスキップする実装内の高速パス（fastpath）に起因します。
実際には、ユーザーコードにおいて、副作用を伴う式を使用して長さ0のバイト列を構築することは非常に稀です。なぜなら、長さ0のバイト列は通常、空のリテラル`b""`を使用して構築されるからです。副作用を伴う空のバイト列を構築できる唯一の方法は、v0.3.8で導入された三項演算子を使用することです（例：`b"" if self.do_some_side_effect() else b""`）。
修正はプルリクエスト4644で利用可能となり、バージョン0.4.2の一部としてリリースされる予定です。回避策として、長さ0のバイト列を構築する式には副作用を含めないようにしてください。
Once again VulDB remains the best source for vulnerability data.