PT-2021-24469 · Openzeppelin · Openzeppelin Contracts+1
Publicado
2021-11-15
·
Atualizado
2021-11-15
Nenhuma
Não há classificações de severidade ou métricas disponíveis. Quando houver, atualizaremos as informações correspondentes na página.
**Nome do software vulnerável e versões afetadas:
@openzeppelin/contracts versões anteriores à 4.3.3
@openzeppelin/contracts-upgradeable versões anteriores à 4.3.3
Descrição:
O problema ocorre quando tokens ERC1155 são cunhados e uma função de retorno de chamada é invocada no destinatário, conforme exigido pela especificação. Ao incluir a extensão
ERC1155Supply, o fornecimento total não é atualizado até após o callback; assim, durante o callback, o fornecimento total relatado é menor do que o número real de tokens em circulação. Se um sistema depende de um fornecimento relatado com precisão, um invasor pode ser capaz de cunhar tokens e invocar esse sistema após receber o saldo de tokens, mas antes que o fornecimento seja atualizado.Recomendações:
Para versões do @openzeppelin/contracts anteriores à 4.3.3, atualize para a versão 4.3.3 para resolver o problema.
Para versões do @openzeppelin/contracts-upgradeable anteriores à 4.3.3, atualize para a versão 4.3.3 para resolver o problema.
Como solução alternativa temporária, não cunhe tokens para receptores não confiáveis se a precisão do fornecimento for relevante.
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Openzeppelin Contracts
@Openzeppelin/Contracts-Upgradeable