Multiple evaluation of contract address in call in vyper
Impact
when a calling an external contract with no return value, the contract address could be evaluated twice. this is usually only an efficiency problem, but if evaluation of the contract address has side effects, it could result in double evaluation of the side effects.
in the following example, Foo(msg.sender).bar() is the contract address for the following call (to .foo()), and could get evaluated twice
interface Foo:
def foo(): nonpayable
def bar() -> address: nonpayable
@external
def do_stuff():
Foo(Foo(msg.sender).bar()).foo()Patches
6b4d8ff185de071252feaa1c319712b2d6577f8d
Workarounds
assign contract addresses to variables. the above example would change to
@external
def do_stuff():
t: Foo = Foo(msg.sender).bar()
t.foo()References
For more information
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Python (PyPI) | vyper | < 0.3.4 | 0.3.4 |
Referencias
- https://github.com/vyperlang/vyper/security/advisories/GHSA-4v9q-cgpw-cf38
- https://github.com/vyperlang/vyper/commit/6b4d8ff185de071252feaa1c319712b2d6577f8d
- https://nvd.nist.gov/vuln/detail/CVE-2022-29255
- https://github.com/pypa/advisory-database/tree/main/vulns/vyper/PYSEC-2022-43053.yaml
- https://github.com/vyperlang/vyper
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N- Debilidad (CWE)
CWE-670- Plataforma
- Python (PyPI)
- Paquete
vyper- Publicada
- 06.06.2022
- Actualizado
- 11.10.2026 11:20
Fuentes y licencias
OSV / GitHub Advisory Database - PYSEC-2022-43053 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-4v9q-cgpw-cf38 - CC BY 4.0
Historial de vulnerabilidades: vyper
Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 47
- Primera → última
- 03.2020 10.2026
- Sin corrección
- 5
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 3
- Alta 14
- Media 20
- Baja 10
Divulgaciones por año
- 2020: 1
- 2021: 5
- 2022: 4
- 2023: 14
- 2024: 14
- 2025: 6
- 2026: 3
-
Multiple evaluation of contract address in call in vyper esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.