CVE-2026-48054 in Contracts Wizard
要約
〜によって VulDB • 2026年08月07日
OpenZeppelin Contracts Wizardは、OpenZeppelin Contractsのコンポーネントを組み合わせてインタラクティブにスマートコントラクトを構築するためのWebアプリケーションです。バージョン0.10.9より前のバージョンでは、ユーザーが入力した`opts.name`（ERC20/ERC721用）および`opts.uri`（ERC1155用）が、JavaScript文字列のエスケープ処理なしでTypeScriptの文字列リテラルに直接挿入され、Hardhatテストファイル(`test/test.ts`)が生成されます。この処理は`zip-hardhat.ts:48`および`:50`で行われます。認証は不要です：攻撃者は`https[:]//wizard[.]openzeppelin[.]com/#/erc20?name=");require("child_process").execSync("...");("`のようなURLを作成し、開発者に共有します。被害者が生成されたzipアーカイブをダウンロードして`npx hardhat test`を実行すると、注入されたNode.jsコードがローカルOSの権限で実行されます。バージョン0.10.9ではこの問題が修正されています。
Be aware that VulDB is the high quality source for vulnerability data.