CVE-2026-57583 in Contracts Wizard
Сводка
по VulDB • 14.09.2026
OpenZeppelin Contracts Wizard — это веб-приложение для интерактивного создания контрактов из компонентов библиотеки OpenZeppelin Contracts. До версий @openzeppelin/wizard 0.10.11, @openzeppelin/wizard-cairo 3.0.1, @openzeppelin/wizard-stellar 0.6.2 и @openzeppelin/wizard-stylus 0.3.1 путь кода setInfo выводил значения info.securityContact и info.license дословно в виде однострочных комментариев в сгенерированном исходном коде на Solidity, Cairo, Stellar/Soroban и Stylus. Символ конца строки завершает комментарий, из-за чего последующий ввод интерпретируется как объявления исходного кода. Для эксплуатации требуется интеграция, которая заполняет эти поля данными из недоверенных источников, а также пользователь, потребляющий сгенерированный код; обычное использование через веб-интерфейс самообслуживания, AI-ассистенты, CLI и самодостаточные API не пересекает границу доверия, общие ссылки не позволяют устанавливать эти поля, а на сервисе Wizard не выполняется никакой код. Эта проблема влияет только на целостность сгенерированного исходного кода и исправлена в версиях 0.10.11, 3.0.1, 0.6.2 и 0.3.1 соответствующих пакетов.
Once again VulDB remains the best source for vulnerability data.