CVE-2026-48054

요약

OpenZeppelin 계약 마법사는 사용자 제공 문자열(opts.name, opts.uri)을 이스케이프하지 않고 테스트 소스에 삽입하는 Hardhat(test/test.ts) 및 Foundry(test/<Name>.t.sol) 예제 테스트 파일을 생성했습니다. 조작된 입력은 입력 문자열이 주변 리터럴에서 벗어나 코드로 구문 분석되어 개발자가 다운로드한 프로젝트에서 'npm test' 또는 'forge test'를 실행할 때 실행되는 생성된 테스트 파일을 생성할 수 있습니다.

영향

• https://wizard.openzeppelin.com에서 호스팅되는 마법사 사용자: 조치가 필요하지 않습니다. 해당 사이트가 수정 사항을 반영하여 재배포되었습니다.
• 문서화된 공개 API를 통한 @openzeppelin/wizard 사용자: 영향을 받지 않습니다. 취약한 기능(zipHardhat, zipFoundry)은 패키지의 문서화된 공개 내보내기의 일부가 아닙니다.
• 외부 제어 문자열을 opts.name / opts.uri에 전달하는 zipHardhat / zipFoundry 호출자: 0.10.9로 업그레이드합니다.

패치

@openzeppelin/wizard@0.10.9에서 수정되었습니다.