CVE-2026-57583 in Contracts Wizard
Sumário
de VulDB • 14/09/2026
O OpenZeppelin Contracts Wizard é uma aplicação web para construir interativamente um contrato a partir de componentes do OpenZeppelin Contracts. Antes das versões @openzeppelin/wizard 0.10.11, @openzeppelin/wizard-cairo 3.0.1, @openzeppelin/wizard-stellar 0.6.2 e @openzeppelin/wizard-stylus 0.3.1, o caminho de código setInfo imprime info.securityContact e info.license literalmente em comentários de uma única linha no código fonte gerado (Solidity, Cairo, Stellar/Soroban e Stylus). Um terminador de linha encerra o comentário e faz com que a entrada subsequente seja emitida como declarações de origem. A exploração requer uma integração para popular esses campos com dados não confiáveis e um utilizador para consumir o código fonte gerado; o uso normal via web self-service, assistentes de IA, CLI e API auto-hospedada não cruza esse limite de confiança, os links partilhados não podem definir os campos e nenhum código é executado no serviço Wizard. Esta questão afeta apenas a integridade do código fonte gerado e está corrigida nas versões 0.10.11, 3.0.1, 0.6.2 e 0.3.1 dos respetivos pacotes.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.