Podatności Elo

W bibliotece Elo w wersjach przed 1.0.1 programistyczne API AST przyjmuje dowolne wartości z danych deserializowanych z JSON, wyjścia wtyczek lub innych nieotypowanych źródeł i interpoluje je do generowanego kodu JavaScript, Ruby, Python lub SQL bez walidacji składni w czasie wykonania. Spreparowane wartości stają się wykonywalnymi wyrażeniami lub identyfikatorami, co umożliwia wykonanie dowolnego kodu oraz wstrzyknięcie SQL.

W bibliotece Elo w wersjach przed 1.0.1 zwykłe łańcuchy znaków przekazywane do parsera mogą wykorzystać właściwość .constructor.constructor do uzyskania dostępu do obiektu JavaScript Function. Powstały kod JavaScript wykonuje kod wybrany przez atakującego w środowisku hosta, co umożliwia wykonanie skryptu w przeglądarce oraz wykonanie dowolnego kodu Node.js.

W bibliotece Elo w wersjach przed 1.0.1 backend Ruby osadza tekst kontrolowany przez atakującego w podwójnie cytowanych łańcuchach Ruby bez escapowania znaku #. Formy interpolacji Ruby w emitterze literałów łańcuchowych lub gałęzi ograniczeń podtypów stają się wykonywalnym kodem Ruby, co umożliwia wykonanie kodu Ruby i poleceń powłoki.