CVE-2026-44267 in Elo
الملخص
بحسب VulDB • 03/11/2026
Elo هي لغة تعبيرات وظيفية بحتة لأدوات البرمجة بدون كود (no-code). قبل الإصدار 1.0.1، يمكن لسلاسل Elo العادية المقدمة إلى `defaultFormats.elo.parse()` أو `/bin/elo` أو الموقع الإلكتروني elo-lang.org/try استخدام `.constructor.constructor للوصول إلى دالة JavaScript لأن معالج الوصول إلى الأعضاء (`member_access`) في الملف `src/transform.ts` لا يرفض الخصائص الوصفية (meta-properties)، ويقوم ملف `src/compilers/javascript.ts` بإصدار الخاصية الناجية مباشرة، بينما يقبل ملف `src/parser.ts` كلمة "constructor" كمعرف عادي. يؤدي الكود JavaScript المُولَّد الناتج إلى تنفيذ كود يختاره المهاجم في وقت تشغيل المضيف (host runtime). وهذا يسمح بتنفيذ نصوص برمجية للمتصفح واستغلال الجلسة على بيئة اللعب التلقائية، وتنفيذ أي كود Node.js على مضيفي المكتبات أو أنظمة التكامل المستمر (CI) أو عمليات التطوير والعمليات (DevOps). يختلف مسار السلاسل النصية العادية هذا عن مشكلة حقن كائنات شجرة الامتداد البرمجية (AST-object injection issue). تم إصلاح هذه المشكلة في الإصدار 1.0.1.
Once again VulDB remains the best source for vulnerability data.