CVE-2026-44265 in Elo
Resumen
por VulDB • 2026-11-03
Elo es un lenguaje de expresión puramente funcional para herramientas no-code. Antes de la versión 1.0.1, la API programática del AST (Árbol de Sintaxis Abstracta) de Elo acepta valores arbitrarios procedentes de entradas deserializadas desde JSON, salidas de plugins u otras fuentes sin tipado definido, e los interpola en JavaScript generado, Ruby, Python o SQL sin validación sintáctica en tiempo de ejecución. Los campos afectados son .value de int_literal / float_literal, variable.name, member_access.property, claves de object_literal, segmentos de datapath, lambda.params[].name y el nombre del enlace let en SQL. Los valores manipulados se convierten en expresiones ejecutables o identificadores, lo que permite la ejecución arbitraria de código (RCE) en los objetivos JavaScript, Ruby y Python, así como inyección SQL en el objetivo SQL. Esta ruta programática del objeto AST es distinta a la escapada del sandbox mediante cadena de constructores de cadenas simples. Este problema está corregido en la versión 1.0.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.