CVE-2026-44267 in Elo
Zusammenfassung
von VulDB • 03.11.2026
Elo ist eine rein funktionale Ausdrucks-Sprache für No-Code-Tools. Vor Version 1.0.1 können einfache Elo-Zeichenfolgen, die an defaultFormats.elo.parse(), bin/elo oder elo-lang.org/try übergeben werden, .constructor.constructor nutzen, um auf JavaScript Function zuzugreifen, da der member_access-Handler in src/transform.ts Meta-Eigenschaften nicht ablehnt, src/compilers/javascript.ts das verbleibende Property direkt ausgibt und src/parser.ts constructor als gewöhnlichen Bezeichner akzeptiert. Der daraus resultierende generierte JavaScript-Code führt vom Angreifer ausgewählten Code im Host-Laufzeitumfeld aus. Dies ermöglicht die Ausführung von Browser-Skripten und den Kompromittieren der Sitzung in der automatisch ausgeführten Playground-Umgebung sowie die beliebige Node.js-Code-Ausführung auf Bibliotheks-, CI- oder DevOps-Hosts. Dieser Pfad über einfache Zeichenfolgen ist vom programmatischen AST-Objekt-Injektionsproblem zu unterscheiden. Dieses Problem wurde in Version 1.0.1 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.