p PatchFirst

CVE-2023-40014

CVE-2023-40014 · OpenZeppelin Contracts's ERC2771Context with custom forwarder may lead to zero-valued _msgSender

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

OpenZeppelin Contracts is a library for secure smart contract development. Starting in version 4.0.0 and prior to version 4.9.3, contracts using `ERC2771Context` along with a custom trusted forwarder may see `_msgSender` return `address(0)` in calls that originate from the forwarder with calldata shorter than 20 bytes. This combination of circumstances does not appear to be common, in particular it is not the case for `MinimalForwarder` from OpenZeppelin Contracts, or any deployed forwarder the team is aware of, given that the signer address is appended to all calls that originate from these forwarders. The problem has been patched in v4.9.3.

CVSS 5.3 · Средний · EPSS 0,7% · Есть исправление

Опубликовано
Обновлено

Стек: system · node

Затронутые продукты и версии

  • openzeppelin-contracts

    Версии
    • >= 4.0.0, < 4.9.3: Затронуто

    Нет опубликованного исправления

  • @openzeppelin/contracts npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 4.0.0, < 4.9.3

    Обновитесь до 4.9.3

  • @openzeppelin/contracts-upgradeable npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 4.0.0, < 4.9.3

    Обновитесь до 4.9.3

  • smart Ubuntu:16.04:LTS

    Версии
    • 1.4-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • smart Ubuntu:18.04:LTS

    Версии
    • 1.4-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →