CVE-2020-37288— Vyper 0.1.0b10 嵌套循环非法跳转漏洞
一分钟漏洞结论
影响对象
vyperlang vyper
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Vyper 从 0.1.0b10 版本到 0.2.3 版本（不含）在生成代码时存在缺陷：当内部函数中的 循环内包含 语句，且该函数被嵌套调用两次或更多次时，生成的代码会产生无效的跳转目标，导致栈下溢。受影响的智能合约会因此错误地回滚相关调用；在特定有限场景下，这可能对公开合约造成拒绝服务（DoS）攻击。
可能的 ATT&CK 技术 1 AI
T1499 · Endpoint Denial of Service
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2020-37288 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Vyper 0.1.0b10 before 0.2.3 Invalid Jump Destination via Return in Nested Loops
来源: CVE Program / CVE List V5
Vulnerability Description
Vyper from 0.1.0b10 before 0.2.3 generates incorrect code for a return statement inside a for loop in an internal function called two or more internal calls deep, producing an invalid jump destination (stack underflow). Affected contracts revert such calls unnecessarily, which in limited circumstances could enable denial of service against public contracts.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L
来源: CVE Program / CVE List V5
Vulnerability Type
控制流实现总是不正确
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2020-37288 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2020-37288 的情报信息
请登录查看更多情报信息。
CVE-2020-37288 其他参考 (2)
同批安全公告 · vyperlang · 2026-10-21 · 共 12 条
| CVE-2021-48018 | 7.4 HIGH | Vyper 0.2.13 到 0.2.15 存储损坏漏洞 |
| CVE-2021-48020 | 6.5 MEDIUM | Vyper 0.3.0 之前数组内部函数调用内存破坏漏洞 |
| CVE-2020-37286 | 6.5 MEDIUM | Vyper 0.1.0b4 内存破坏漏洞 |
| CVE-2026-114117 | 5.9 MEDIUM | Vyper 0.3.8-0.5.0b1 msg.value 三元分支优化误编译漏洞 |
| CVE-2020-37287 | 5.9 MEDIUM | Vyper 0.2.6 前复杂参数调用栈损坏漏洞 |
| CVE-2026-114116 | 5.3 MEDIUM | Vyper 0.5.0b1 通过换行符操纵字面量漏洞 |
| CVE-2026-114114 | 5.3 MEDIUM | Vyper 0.5.0b1 多字节字符字面量替换漏洞 |
| CVE-2021-48019 | 4.8 MEDIUM | Vyper 0.2.9 之前版本代理创建 RETURNDATASIZE 错误漏洞 |
| CVE-2026-114118 | 4.8 MEDIUM | Vyper 0.3.4-0.5.0b1 蓝图偏移验证绕过漏洞 |
| CVE-2026-114115 | 3.7 LOW | Vyper 0.3.8-0.5.0b1 三元嵌套数组内存误读漏洞 |
| CVE-2020-37289 | 3.7 LOW | Vyper 0.3.1 之前版本 uint8 接口返回值验证漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2020-37288
暂无评论