CVE-2026-44267
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- —
- CWE
- CWE-79
- KEV Durumu
- Hayır
Yayım tarihi: 3 Kasım 2026
Elo, no-code araçları için salt işlevsel bir ifade dilidir. 1.0.1 sürümünden önce, varsayılanFormats.elo.parse(), bin/elo veya elo-lang.org/try'ye sağlanan düz Elo dizeleri, src/transform.ts'deki üye erişimi işleyicisinin meta özelliklerini reddetmemesi, src/compilers/javascript.ts'nin hayatta kalan özelliği doğrudan发出 etmesi ve src/parser.ts'nin constructor'ı normal bir tanımlayıcı olarak kabul etmesi nedeniyle .constructor.constructor kullanarak JavaScript Function'a ulaşabilir. Sonucunda oluşturulan JavaScript, saldırgan tarafından seçilen kodu host çalışma zamanında çalıştırır. Bu, otomatik çalışan oyun alanında tarayıcı betiği çalıştırma ve oturum ihlaline ve kütüphane, CI veya DevOps konaklarında keyfi Node.js kodu çalıştırmasına izin verir. Bu düz dizgi yolu, programatik AST-nesne enjeksiyon sorunundan ayrıdır. Bu sorun 1.0.1 sürümünde giderilmiştir.
Orijinal açıklama (İngilizce)
Elo is a purely functional expression language for no-code tools. Prior to 1.0.1, plain Elo strings supplied to defaultFormats.elo.parse(), bin/elo, or elo-lang.org/try can use .constructor.constructor to reach JavaScript Function because the member_access handler in src/transform.ts does not reject meta-properties, src/compilers/javascript.ts emits the surviving property directly, and src/parser.ts accepts constructor as an ordinary identifier. The resulting generated JavaScript executes attacker-selected code in the host runtime. This permits browser script execution and session compromise on the auto-running playground and arbitrary Node.js code execution on library, CI, or DevOps hosts. This plain-string path is distinct from the programmatic AST-object injection issue. This issue is fixed in version 1.0.1.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.