CVE-2026-44265 in Elo
Riassunto
di VulDB • 03/11/2026
Elo è un linguaggio di espressione puramente funzionale destinato agli strumenti no-code. Prima della versione 1.0.1, l'API programmatica AST di Elo accetta valori arbitrari da input deserializzati tramite JSON, output dei plugin o altre fonti non tipizzate e li interpola nel JavaScript, Ruby, Python o SQL generati senza alcuna validazione sintattica a runtime. I campi interessati sono .value di int_literal / float_literal, variable.name, member_access.property, chiavi di object_literal, segmenti del datapath, lambda.params[].name e il nome della binding let in SQL. Valori costruiti ad hoc diventano espressioni eseguibili o identificatori, consentendo l'esecuzione arbitraria di codice negli obiettivi JavaScript, Ruby e Python e un'iniezione SQL nell'obiettivo SQL. Questo percorso programmatico dell'oggetto AST è distinto dalla fuga dal sandbox tramite la catena del costruttore a stringa semplice. Il problema è stato risolto nella versione 1.0.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.