漏洞标题
vyper对sqrt参数进行双评估
漏洞描述信息
Vyper是针对以太坊虚拟机的Python风格智能合约语言。在版本0.3.10及更早的版本中，使用内置的`sqrt`可能导致在参数有副作用时出现双重评估漏洞。可以看出，内置函数`sqrt`的`build_IR`函数不会将参数缓存到堆栈中。因此，它可以被多次评估（而不是从堆栈中检索值）。未发现存在漏洞的生产合约。此外，副作用的双重评估在客户端测试中应该很容易发现。因此，影响较小。截至发布时，尚无可供修复的版本。
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
漏洞类别
未经控制的递归
漏洞标题
vyper performs double eval of the argument of sqrt
漏洞描述信息
Vyper is a pythonic Smart Contract Language for the Ethereum virtual machine. In versions 0.3.10 and prior, using the `sqrt` builtin can result in double eval vulnerability when the argument has side-effects. It can be seen that the `build_IR` function of the `sqrt` builtin doesn't cache the argument to the stack. As such, it can be evaluated multiple times (instead of retrieving the value from the stack). No vulnerable production contracts were found. Additionally, double evaluation of side-effects should be easily discoverable in client tests. As such, the impact is low. As of time of publication, no fixed versions are available.
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
漏洞类别
动态执行代码中指令转义处理不恰当(Eval注入)
漏洞标题
Vyper 安全漏洞
漏洞描述信息
Vyper是EVM 的 Pythonic 智能合约语言。 Vyper 0.3.10 及之前版本存在安全漏洞，该漏洞源于内置 sqrt参数存在安全问题。
CVSS信息
N/A
漏洞类别
其他