Zaloguj się
Deutsch English Español Polski
Średnia

OpenZeppelin Contracts ERC165Checker unbounded gas consumption

  • Ujawniono: 14.08.2022
  • Aktualizacja: 11.10.2026 10:22

Impact

The target contract of an EIP-165 supportsInterface query can cause unbounded gas consumption by returning a lot of data, while it is generally assumed that this operation has a bounded cost.

Patches

The issue has been fixed in v4.7.2.

References

https://github.com/OpenZeppelin/openzeppelin-contracts/pull/3587

For more information

If you have any questions or comments about this advisory, or need assistance deploying a fix, email us at security@openzeppelin.com.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka npm @openzeppelin/contracts >= 2.0.0, < 4.7.2 4.7.2
Paczka npm @openzeppelin/contracts-upgradeable >= 3.2.0, < 4.7.2 4.7.2
Paczka npm openzeppelin-eth >= 2.0.0, <= 2.2.0 brak poprawki
Paczka npm openzeppelin-solidity >= 2.0.0, <= 4.6.0 brak poprawki

Odnośniki

Ocena CVSS 5.3/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Słabość (CWE)
CWE-400, CWE-770
Platforma
npm
Paczka
@openzeppelin/contracts, @openzeppelin/contracts-upgradeable, openzeppelin-eth
Ujawniono
14.08.2022
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-7grf-83vw-6f5x - CC BY 4.0

Historia podatności: @openzeppelin/contracts-upgradeable

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (22) w archiwum
Wszystkich wpisów
22
Pierwsza → ostatnia
08.2021 07.2025
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 3
  • Wysoka 5
  • Średnia 12
  • Niska 2

Ujawnienia w latach

Istotność:
  1. GovernorCompatibilityBravo may trim proposal calldata
    Wysoka · 8.8 CVE-2023-30542 >= 4.3.0, < 4.8.3 4.8.3
  2. OpenZeppelin Contracts vulnerable to ECDSA signature malleability
    Wysoka · 7.9 CVE-2022-35961 >= 4.1.0, < 4.7.3 4.7.3
  3. OpenZeppelin Contracts's GovernorVotesQuorumFraction updates to quorum may affect past defeated proposals
    Wysoka · 7.5 CVE-2022-31198 >= 4.3.0, < 4.7.2 4.7.2
  4. OpenZeppelin Contracts ERC165Checker unbounded gas consumption ten wpis
    Średnia · 5.3 CVE-2022-35915 >= 3.2.0, < 4.7.2 4.7.2
  5. OpenZeppelin Contracts's SignatureChecker may revert on invalid EIP-1271 signers
    Wysoka · 7.5 CVE-2022-31172 >= 4.1.0, < 4.7.1 4.7.1
  6. OpenZeppelin Contracts's ERC165Checker may revert instead of returning false
    Wysoka · 7.5 CVE-2022-31170 >= 4.0.0, < 4.7.1 4.7.1
  7. UUPSUpgradeable vulnerability in @openzeppelin/contracts
    Krytyczna · 9.8 CVE-2021-41264 >= 4.1.0, < 4.3.2 4.3.2
  8. UUPSUpgradeable vulnerability in @openzeppelin/contracts-upgradeable
    Krytyczna ghsa-q4h9-46xg-m3x9 >= 4.1.0, < 4.3.2 4.3.2
  9. TimelockController vulnerability in OpenZeppelin Contracts
    Krytyczna · 10.0 CVE-2021-39168 >= 4.0.0, < 4.3.1, >= 3.3.0, < 3.4.2 4.3.1, 3.4.2

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.