Iniciar sesión
Deutsch English Español Polski
Media

OpenZeppelin Contracts vulnerable to Improper Escaping of Output

  • Publicada: 11.08.2023
  • Actualizado: 11.10.2026 10:22

Impact

OpenZeppelin Contracts is a library for secure smart contract development. Starting in version 4.0.0 and prior to version 4.9.3, contracts using ERC2771Context along with a custom trusted forwarder may see _msgSender return address(0) in calls that originate from the forwarder with calldata shorter than 20 bytes. This combination of circumstances does not appear to be common, in particular it is not the case for MinimalForwarder from OpenZeppelin Contracts, or any deployed forwarder the team is aware of, given that the signer address is appended to all calls that originate from these forwarders.

Patches

The problem has been patched in v4.9.3.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Paquete de npm @openzeppelin/contracts >= 4.0.0, < 4.9.3 4.9.3
Paquete de npm @openzeppelin/contracts-upgradeable >= 4.0.0, < 4.9.3 4.9.3

Referencias

Puntuación CVSS 5.3/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
Debilidad (CWE)
CWE-116
Plataforma
npm
Paquete
@openzeppelin/contracts, @openzeppelin/contracts-upgradeable
Publicada
11.08.2023
Actualizado
11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-g4vp-m682-qqmp - CC BY 4.0

Historial de vulnerabilidades: @openzeppelin/contracts

Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (20) en el archivo
Entradas en total
20
Primera → última
08.2021 07.2025
Sin corrección
0
Explotada en ataques
0

Distribución por gravedad

  • Crítica 2
  • Alta 5
  • Media 12
  • Baja 1

Divulgaciones por año

Gravedad:
  1. OpenZeppelin Contracts vulnerable to Improper Escaping of Output esta entrada
    Media · 5.3 CVE-2023-40014 >= 4.0.0, < 4.9.3 4.9.3
  2. GovernorCompatibilityBravo may trim proposal calldata
    Alta · 8.8 CVE-2023-30542 >= 4.3.0, < 4.8.3 4.8.3
  3. OpenZeppelin Contracts vulnerable to ECDSA signature malleability
    Alta · 7.9 CVE-2022-35961 >= 4.1.0, < 4.7.3 4.7.3
  4. OpenZeppelin Contracts's GovernorVotesQuorumFraction updates to quorum may affect past defeated proposals
    Alta · 7.5 CVE-2022-31198 >= 4.3.0, < 4.7.2 4.7.2
  5. OpenZeppelin Contracts's SignatureChecker may revert on invalid EIP-1271 signers
    Alta · 7.5 CVE-2022-31172 >= 4.1.0, < 4.7.1 4.7.1
  6. OpenZeppelin Contracts's ERC165Checker may revert instead of returning false
    Alta · 7.5 CVE-2022-31170 >= 4.0.0, < 4.7.1 4.7.1
  7. UUPSUpgradeable vulnerability in @openzeppelin/contracts
    Crítica · 9.8 CVE-2021-41264 >= 4.1.0, < 4.3.2 4.3.2
  8. TimelockController vulnerability in OpenZeppelin Contracts
    Crítica · 10.0 CVE-2021-39167 >= 4.0.0, < 4.3.1, >= 3.3.0, < 3.4.2 4.3.1, 3.4.2

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.