Storage corruption due to variables overwritten by re-entrancy locks

高 7.4CVE-2021-48018 · GHSA-7f92-rr6w-cq64 · 21/10/2026 公開 · 23/10/2026 更新

要点

CVE-2021-48018 は vyper に影響する深刻度「高」 (CVSS 7.4) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.39%（全脆弱性の 33.3% より高い）。
対処：0.2.15 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
vyper PyPI	`≥ 0.2.13, < 0.2.15`	`0.2.15`

概要

Background

When attempting to use the v0.2.14 release, @pandadefi discovered an issue using the @nonreentrant decorator.

Impact

Reentrancy protection storage slots get allocated to the same slots as storage variables, leading to the corruption of storage variables when using the @nonreentrant decorator.

Patches

This issue was fixed in v0.2.15 in #2391, #2379

Workarounds

Don't use the @nonreentrant decorator in these versions.

NVD の説明

Vyper from 0.2.13 before 0.2.15 allocates storage slots for @nonreentrant reentrancy locks at the same locations as contract storage variables. When a function using @nonreentrant is called, setting the lock overwrites the overlapping storage variable, corrupting contract state and breaking the contract's intended logic.

参考情報

vyper のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

vyper

PyPI

≥ 0.2.13, < 0.2.15

0.2.15

概要