CVE-2026-44267 in Elo
Riassunto
di VulDB • 03/11/2026
Elo è un linguaggio di espressione puramente funzionale destinato agli strumenti no-code. Prima della versione 1.0.1, le stringhe Elo non elaborate fornite a `defaultFormats.elo.parse()`, `bin/elo` o `elo-lang.org/try` possono utilizzare `.constructor.constructor` per accedere alla funzione JavaScript poiché il gestore `member_access` in `src/transform.ts` non rifiuta le proprietà meta, `src/compilers/javascript.ts` emette la proprietà sopravvissuta direttamente e `src/parser.ts` accetta `constructor` come un identificatore ordinario. Il codice JavaScript generato risultante esegue codice selezionato dall'attaccante nel runtime host. Ciò consente l'esecuzione di script del browser e il compromesso della sessione nell'autogestione playground, nonché l'esecuzione arbitraria di codice Node.js su librerie, ambienti CI o host DevOps. Questo percorso tramite stringhe non elaborate è distinto dal problema di iniezione dell'oggetto AST a livello programmatico. Il problema è stato risolto nella versione 1.0.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.