CVE-2026-44266
KrytyczneCVSS 9.8Streszczenie
W bibliotece Elo w wersjach przed 1.0.1 backend Ruby osadza tekst kontrolowany przez atakującego w podwójnie cytowanych łańcuchach Ruby bez escapowania znaku #. Formy interpolacji Ruby w emitterze literałów łańcuchowych lub gałęzi ograniczeń podtypów stają się wykonywalnym kodem Ruby, co umożliwia wykonanie kodu Ruby i poleceń powłoki.
Ocena ryzyka
Atakujący może wykonać dowolny kod Ruby oraz polecenia powłoki na hostach używających backendu Ruby, co prowadzi do przejęcia systemu.
Rekomendacja
Zaktualizuj bibliotekę Elo do wersji 1.0.1 lub nowszej, która poprawnie escapuje znak # w emitowanym kodzie Ruby.
Inne podatności w Elo
Zobacz wszystkie- CVE-2026-44265Wysokie
W bibliotece Elo w wersjach przed 1.0.1 programistyczne API AST przyjmuje dowolne wartości z danych deserializowanych z JSON, wyjścia wtyczek lub innych nieotypowanych źródeł i interpoluje je do generowanego kodu JavaScript, Ruby, Python lub SQL bez walidacji składni w czasie wykonania. Spreparowane wartości stają się wykonywalnymi wyrażeniami lub identyfikatorami, co umożliwia wykonanie dowolnego kodu oraz wstrzyknięcie SQL.
- CVE-2026-44267Krytyczne
W bibliotece Elo w wersjach przed 1.0.1 zwykłe łańcuchy znaków przekazywane do parsera mogą wykorzystać właściwość .constructor.constructor do uzyskania dostępu do obiektu JavaScript Function. Powstały kod JavaScript wykonuje kod wybrany przez atakującego w środowisku hosta, co umożliwia wykonanie skryptu w przeglądarce oraz wykonanie dowolnego kodu Node.js.
Oryginalny opis (angielski, źródło NVD)
Elo is a purely functional expression language for no-code tools. Prior to 1.0.1, the Ruby backend in src/compilers/ruby.ts embeds attacker-controlled text in Ruby double-quoted strings without escaping #, so Ruby interpolation forms in the string-literal emitter or the labelled subtype-constraint branch become executable Ruby. The affected entry points include the /try playground with the Ruby target, bin/eloc -t ruby -x, and defaultFormats.elo.parse() followed by Ruby emission. A failing labelled subtype constraint evaluates its message, while an ordinary string literal is evaluated when the compiled Ruby runs, allowing Ruby code and shell command execution through backticks. JavaScript, Python, and SQL emission are not affected by this Ruby-specific path. This issue is fixed in version 1.0.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS