p PatchFirst

CVE-2024-27094

CVE-2024-27094 · OpenZeppelin Contracts base64 encoding may read from potentially dirty memory

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

OpenZeppelin Contracts is a library for secure smart contract development. The `Base64.encode` function encodes a `bytes` input by iterating over it in chunks of 3 bytes. When this input is not a multiple of 3, the last iteration may read parts of the memory that are beyond the input buffer. The vulnerability is fixed in 5.0.2 and 4.9.6.

CVSS 6.5 · Средний · EPSS 0,8% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • openzeppelin-contracts

    Версии
    • >= 4.5.0, < 4.9.6: Затронуто
    • >= 5.0.0-rc.0, < 5.0.2: Затронуто

    Нет опубликованного исправления

  • @openzeppelin/contracts npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 4.5.0, < 4.9.6

    Обновитесь до 4.9.6

  • @openzeppelin/contracts-upgradeable npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 5.0.0-rc.0, < 5.0.2

    Обновитесь до 5.0.2

  • @openzeppelin/contracts npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 5.0.0-rc.0, < 5.0.2

    Обновитесь до 5.0.2

  • @openzeppelin/contracts-upgradeable npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 4.5.0, < 4.9.6

    Обновитесь до 4.9.6

Первоисточники

Проверьте свой сервер →