- Yama var
- Son 7 gün
- CWE-436
CVE-2026-114116
Vyper'da satır ayırıcı karakterler nedeniyle sayısal sabitlerin değiştirilebilmesi
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Vyper 0.1.0b1 sürümünden 0.1.0b17 öncesine kadar olan sürümler ile 0.4.1 ila 0.5.0b1 sürümleri, kaynak kodu satır tablosunu str.splitlines ile oluşturmaktadır. Bu fonksiyon, form besleme (form feed) ve U+2028 gibi Python ayrıştırıcısının satır sonu olarak dikkate almadığı karakterleri satır sonu olarak değerlendirir; bu nedenle sayısal sabitler, kaydırılmış kaynak metin üzerinden sınıflandırılır ve doğrulanır. Kaynak kodu sağlayabilen bir saldırgan, bu karakterleri yorumlarda, dizgilerde veya girintilerde gizleyerek adres, tamsayı veya ondalıklı sabitleri fark edilmeden değiştirebilir. CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:H/A:N vektörü ile 5.3 (ORTA) puan verilmiştir.
Kaynaktaki açıklama (İngilizce)
Vyper 0.1.0b1 before 0.1.0b17 and 0.4.1 through 0.5.0b1 builds its source-line table with str.splitlines(), which treats characters like form feed and U+2028 as line breaks the Python parser ignores, so numeric literals are classified and validated from shifted source text. An attacker contributing source code can hide these characters in comments, strings or indentation to silently change address, integer or decimal constants.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| vyperlang vyper | ≥ 0.1.0b1, < 0.1.0b17 | 0.1.0b17 |
| 0.1.0b17 Etkilenmiyor | – | |
| ≥ 0.4.1, ≤ 0.5.0b1 | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.