🇰🇷 한글 설명
OpenZeppelin Contracts Wizard의 0.10.9 미만 버전에서 발생하는 취약점으로, 사용자 입력값이 적절한 이스케이프 처리 없이 TypeScript 문자열에 직접 삽입됩니다. 공격자가 조작된 URL을 통해 악성 코드를 포함한 테스트 파일을 생성하게 유도하면, 사용자가 이를 다운로드하여 실행할 때 로컬 OS 권한으로 임의 코드가 실행될 수 있습니다.
💡 쉬운 설명
웹사이트에서 스마트 계약을 만들 때 입력한 이름에 몰래 악성 명령어를 숨겨 보낼 수 있는 보안 결함입니다. 사용자가 만들어진 파일을 내려받아 테스트를 실행하는 순간, 컴퓨터가 해커의 명령에 따라 제어될 위험이 있습니다.
🇺🇸 원문 (English)
OpenZeppelin Contracts Wizard is a web application to interactively build a contract out of components from OpenZeppelin Contracts. Versions prior to 0.10.9 generate a Hardhat test file (`test/test.ts`) by interpolating user-supplied `opts.name` (ERC20/ERC721) and `opts.uri` (ERC1155) directly into TypeScript string literals at `zip-hardhat.ts:48` and `:50` without any JavaScript string escaping. No authentication is required: an attacker crafts a URL such as `https[:]//wizard[.]openzeppelin[.]com/#/erc20?name=");require("child_process").execSync("...");("` and shares it with a developer. When the victim downloads the resulting zip archive and runs `npx hardhat test`, the injected Node.js code executes with the developer's local OS privileges. Version 0.10.9 fixes the issue.
📍 영향받는 시스템
OpenZeppelin Contracts Wizard versions prior to 0.10.9
⚔️ 공격 벡터
조작된 파라미터가 포함된 URL을 통해 악성 코드가 삽입된 ZIP 파일을 다운로드하도록 유도하는 사회 공학적 공격
🛡️ 대응 방법
OpenZeppelin Contracts Wizard를 0.10.9 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력 결과에서 버전 정보가 0.10.9 이상인지 확인하여 취약 여부를 판단합니다.
curl -s https://wizard.openzeppelin.com/ | grep -E 'version|0.10.9'