Iniciar sesión
Deutsch English Español Polski
Media

missing clamps for decimal args in external functions

  • Publicada: 05.10.2021
  • Actualizado: 11.10.2026 13:19

Impact

The following code does not properly validate that its input is in bounds.

python
@external
def foo(x: decimal) -> decimal:
    return x

Patches

0.3.0 / #2447

Workarounds

Don't use decimal args

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Python (PyPI) vyper < 0.3.0 0.3.0

Referencias

Puntuación CVSS 4.3/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
Debilidad (CWE)
CWE-682
Plataforma
Python (PyPI)
Paquete
vyper
Publicada
05.10.2021
Actualizado
11.10.2026 13:19

Fuentes y licencias

OSV / GitHub Advisory Database - PYSEC-2021-366 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-c7pr-343r-5c46 - CC BY 4.0

Historial de vulnerabilidades: vyper

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (47) en el archivo
Entradas en total
47
Primera → última
03.2020 10.2026
Sin corrección
5
Explotada en ataques
0

Distribución por gravedad

  • Crítica 3
  • Alta 14
  • Media 20
  • Baja 10

Divulgaciones por año

Gravedad:
  1. Vyper negative array index bounds checks
    Crítica · 9.8 CVE-2024-24563 < 0.4.0 0.4.0
  2. Vyper's bounds check on built-in `slice()` function can be overflowed
    Crítica · 9.8 CVE-2024-24561 < 0.4.0 0.4.0
  3. concat built-in can corrupt memory in vyper
    Alta · 7.3 CVE-2024-22419 >= 0.3.0, < 0.4.0 0.4.0
  4. incorrect storage layout for contracts containing large arrays
    Alta · 7.5 CVE-2023-46247 < 0.3.8 0.3.8
  5. Vyper vulnerable to memory corruption in certain builtins utilizing `msize`
    Alta · 8.1 CVE-2023-42443 >= 0.3.4, < 0.3.10 0.3.10
  6. Vyper has incorrectly allocated named re-entrancy locks
    Crítica · 8.7 CVE-2023-39363 >= 0.2.15, < 0.3.1 0.3.1
  7. Vyper vulnerable to incorrect ordering of arguments for kwargs passed to internal calls
    Alta · 7.5 CVE-2023-32059 < 0.3.8 0.3.8
  8. Vyper vulnerable to integer overflow in loop
    Alta · 7.5 CVE-2023-32058 < 0.3.8 0.3.8
  9. Vyper vulnerable to OOB DynArray access when array is on both LHS and RHS of an assignment
    Alta · 7.5 CVE-2023-31146 < 0.3.8 0.3.8
  10. vyper vulnerable to storage allocator overflow
    Alta · 7.5 CVE-2023-30837 < 0.3.8 0.3.8
  11. Incorrect success value returned in vyper
    Alta · 7.5 CVE-2023-30629 >= 0.3.1, < 0.3.8 0.3.8
  12. Multiple evaluation of contract address in call in vyper
    Alta · 7.5 CVE-2022-29255 < 0.3.4 0.3.4
  13. Vyper is a pythonic Smart Contract Language for the ethereum virtual machine. In affected versions, the return of `<iface>.returns_int128()` is not validated to fall within the bounds of `int128`. Thi
    Alta · 8.8 CVE-2022-24845 < 0.3.2 0.3.2
  14. Buffer Overflow in vyper
    Alta · 7.1 CVE-2022-24788 < 0.3.2 0.3.2
  15. Incorrect Comparison in Vyper
    Alta · 7.5 CVE-2022-24787 < 0.3.2 0.3.2
  16. Memory corruption when returning a literal struct with a private call inside of it
    Alta · 7.5 CVE-2021-41121 < 0.3.0 0.3.0
  17. missing clamps for decimal args in external functions esta entrada
    Media · 4.3 CVE-2021-41122 < 0.3.0 0.3.0
  18. Storage corruption due to variables overwritten by re-entrancy locks
    Alta ghsa-7f92-rr6w-cq64 >= 0.2.13, < 0.2.15 0.2.15

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.