🇰🇷 한글 설명
OpenZeppelin Contracts Wizard의 특정 버전에서 보안 연락처 및 라이선스 정보가 생성된 소스 코드의 주석 내에 그대로 출력되는 취약점이 발견되었습니다. 이 과정에서 줄 바꿈 문자가 포함될 경우 주석이 종료되어 이후 입력값이 실제 소스 코드로 실행될 수 있는 코드 주입 위험이 존재합니다. 해당 문제는 신뢰할 수 없는 입력값을 통해 필드를 채우는 통합 환경에서만 발생할 수 있습니다.
💡 쉬운 설명
스마트 계약을 자동으로 만들어주는 도구에서 사용자가 입력한 정보가 주석 처리가 제대로 되지 않아 실제 코드로 변할 수 있는 문제입니다. 공격자가 입력창에 특수 문자를 넣으면 프로그램이 의도치 않은 명령을 실행하게 만들 수 있습니다.
🇺🇸 원문 (English)
OpenZeppelin Contracts Wizard is a web application to interactively build a contract out of components from OpenZeppelin Contracts. Prior to @openzeppelin/wizard 0.10.11, @openzeppelin/wizard-cairo 3.0.1, @openzeppelin/wizard-stellar 0.6.2, and @openzeppelin/wizard-stylus 0.3.1, the setInfo code path prints info.securityContact and info.license verbatim into single-line comments in generated Solidity, Cairo, Stellar/Soroban, and Stylus source. A line terminator ends the comment and causes following input to be emitted as source declarations. Exploitation requires an integration to populate these fields from untrusted input and a user to consume the generated source; normal self-service web, AI assistant, CLI, and self-hosted API use does not cross that trust boundary, shared links cannot set the fields, and no code executes on a Wizard service. This issue affects generated-source integrity only and is fixed in versions 0.10.11, 3.0.1, 0.6.2, and 0.3.1 of the respective packages.
📍 영향받는 시스템
@openzeppelin/wizard < 0.10.11, @openzeppelin/wizard-cairo < 3.0.1, @openzeppelin/wizard-stellar < 0.6.2, @openzeppelin/wizard-stylus < 0.3.1
⚔️ 공격 벡터
신뢰할 수 없는 입력값을 통해 info.securityContact 또는 info.license 필드에 줄 바꿈 문자를 포함시켜 소스 코드 주입
🛡️ 대응 방법
해당 패키지들을 최신 버전(0.10.11, 3.0.1, 0.6.2, 0.3.1 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 패키지 버전이 취약점이 해결된 버전보다 낮은지 확인하십시오.
npm list @openzeppelin/wizard @openzeppelin/wizard-cairo @openzeppelin/wizard-stellar @openzeppelin/wizard-stylus