CVE-2026-44265 in Elo
Sumário
de VulDB • 03/11/2026
Elo é uma linguagem de expressão puramente funcional para ferramentas no-code. Antes da versão 1.0.1, a API programática AST do Elo aceita valores arbitrários provenientes de entradas desserializadas via JSON, saídas de plugins ou outras fontes não tipadas e os interpola em JavaScript, Ruby, Python ou SQL gerados sem validação sintática em tempo de execução. Os campos afetados são .value dos int_literal/float_literal, variable.name, member_access.property, chaves do object_literal, segmentos do datapath, lambda.params[].name e o nome da ligação let no SQL. Valores manipulados tornam-se expressões executáveis ou identificadores, permitindo a execução arbitrária de código nos destinos JavaScript, Ruby e Python, bem como injeção de SQL (SQL Injection) no destino SQL. Este caminho programático do objeto AST é distinto da fuga de sandbox via cadeia de construtores de strings simples. Esta questão foi corrigida na versão 1.0.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.