Vyper vulnerable to incorrect ordering of arguments for kwargs passed to internal calls
Impact
Internal calls to internal functions with more than 1 default argument are compiled incorrectly. Depending on the number of arguments
provided in the call, the defaults are added not right-to-left, but left-to-right. If the types are incompatible,
typechecking is bypassed. In the bar() function in the following code, self.foo(13) is compiled to
self.foo(13,12) instead of self.foo(13,1337).
@internal
def foo(a:uint256 = 12, b:uint256 = 1337):
pass
@internal
def bar():
self.foo(13)note that at the time of publication, the ability to pass kwargs to internal functions is an undocumented feature that does not seem to be widely used.
Patches
patched in c3e68c302aa6e1429946473769dd1232145822ac
Workarounds
Is there a way for users to fix or remediate the vulnerability without upgrading?
References
Are there any links users can visit to find out more?
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| Python (PyPI) | vyper | < 0.3.8 | 0.3.8 |
Verweise
- https://github.com/vyperlang/vyper/commit/c3e68c302aa6e1429946473769dd1232145822ac
- https://github.com/vyperlang/vyper/security/advisories/GHSA-ph9x-4vc9-m39g
- https://nvd.nist.gov/vuln/detail/CVE-2023-32059
- https://github.com/pypa/advisory-database/tree/main/vulns/vyper/PYSEC-2023-79.yaml
- https://github.com/vyperlang/vyper
- CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N- Schwäche (CWE)
CWE-683- Plattform
- Python (PyPI)
- Paket
vyper- Veröffentlicht
- 11.05.2023
- Aktualisiert
- 11.10.2026 15:17
Quellen und Lizenzen
OSV / GitHub Advisory Database - PYSEC-2023-79 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-ph9x-4vc9-m39g - CC BY 4.0
Schwachstellenhistorie: vyper
Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 47
- Erste → letzte
- 03.2020 10.2026
- Ohne Fix
- 5
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Kritisch 3
- Hoch 14
- Mittel 20
- Niedrig 10
Veröffentlichungen pro Jahr
- 2020: 1
- 2021: 5
- 2022: 4
- 2023: 14
- 2024: 14
- 2025: 6
- 2026: 3
-
Vyper vulnerable to incorrect ordering of arguments for kwargs passed to internal calls dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.