CVE-2026-44267 in Elo
요약
\~에 의해 VulDB • 2026. 11. 03.
Elo는 노코드(No-code) 도구를 위한 순수 함수형 표현 언어입니다. 버전 1.0.1 이전의 Elo에서는 `defaultFormats.elo.parse()`, `/bin/elo` 또는 `elo-lang.org/try`에 제공되는 일반 Elo 문자열이 `.constructor.constructor`를 사용하여 JavaScript Function 객체에 접근할 수 있습니다. 이는 `src/transform.ts`의 member_access 핸들러가 메타 속성(meta-properties)을 거부하지 않고, `src/compilers/javascript.ts`가 생존한 속성을 직접 출력하며, `src/parser.ts`에서 constructor를 일반 식별자로 허용하기 때문입니다. 이로 인해 생성된 JavaScript는 호스트 런타임 환경에서 공격자가 선택한 코드를 실행합니다. 이를 통해 자동 실행되는 플레이그라운드에서는 브라우저 스크립트 실행 및 세션 탈취가 가능해지며, 라이브러리, CI(Continuous Integration), DevOps 호스트에서는 임의의 Node.js 코드 실행이 가능합니다. 이 일반 문자열 경로 공격은 프로그램적 AST 객체 주입 문제와는 구별됩니다. 본 문제는 버전 1.0.1에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.