PT-2024-24740 · Vyper · Vyper
Charles-Cooper
·
Publicado
2024-04-25
·
Atualizado
2025-01-02
·
CVE-2024-32647
CVSS v3.1
5.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N |
Nome do software vulnerável e versões afetadas
Versões 0.3.10 e anteriores do Vyper
Descrição
O uso da função integrada
create from blueprint pode resultar em uma vulnerabilidade de avaliação dupla quando raw args=True e o argumento args tem efeitos colaterais. A função build create IR da função embutida create from blueprint não armazena em cache o referido argumento args na pilha, permitindo que ele seja avaliado várias vezes. Não foram encontrados contratos de produção vulneráveis, e a avaliação dupla de efeitos colaterais deve ser facilmente detectável em testes de clientes, resultando em um impacto baixo.Recomendações
Para as versões 0.3.10 e anteriores do Vyper, como solução temporária, considere desativar a função interna
create from blueprint com raw args=True até que um patch esteja disponível.No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Exploit
Eval Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Vyper