CVE-2026-44265 in Elo
Tóm tắt
Bởi VulDB • 03/11/2026
Elo là một ngôn ngữ biểu thức thuần túy hàm (purely functional expression language) dành cho các công cụ no-code. Trước phiên bản 1.0.1, API AST lập trình của Elo chấp nhận các giá trị tùy ý từ đầu vào được giải mã JSON, kết quả plugin hoặc các nguồn không có kiểu khác và nội suy chúng vào JavaScript, Ruby, Python hoặc SQL đã tạo ra mà không thực hiện xác cú pháp tại thời điểm chạy (runtime syntax validation). Các trường bị ảnh hưởng bao gồm .value của int_literal / float_literal, variable.name, member_access.property, các khóa object_literal, các đoạn datapath, lambda.params[].name và tên ràng buộc let trong SQL. Các giá trị được tạo ra đặc biệt trở thành các biểu thức hoặc định danh có thể thực thi, cho phép thực thi mã tùy ý (arbitrary code execution) trên các mục tiêu JavaScript, Ruby và Python cũng như tấn công tiêm SQL (SQL injection) trên mục tiêu SQL. Đường dẫn đối tượng AST lập trình này khác với cơ chế thoát sandbox bằng chuỗi ký tự đơn giản. Vấn đề này đã được sửa trong phiên bản 1.0.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.