CVE-2026-44265 Inyección de código en los backends de Elo vía campos AST programáticos sin validar
Elo, antes de 1.0.1, acepta valores arbitrarios desde entrada deserializada de JSON, salida de plugins u otras fuentes sin tipo en su API de AST programática y los interpola en JavaScript, Ruby, Python o SQL generados sin validación sintáctica en tiempo de ejecución. Valores manipulados se convierten en expresiones o identificadores ejecutables, lo que permite ejecución de código arbitrario en los destinos JavaScript, Ruby y Python e inyección SQL en el destino SQL. Se corrige en la versión 1.0.1.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 15
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
enspirit elo
< 1.0.1
Qué hacer
- Verificá si usás elo y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 7.4 ALTA
CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
- Vector de ataqueLocal
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
Elo is a purely functional expression language for no-code tools. Prior to 1.0.1, Elo's programmatic AST API accepts arbitrary values from JSON-deserialized input, plugin output, or other untyped sources and interpolates them into generated JavaScript, Ruby, Python, or SQL without runtime syntax validation. The affected fields are int_literal / float_literal .value, variable.name, member_access.property, object_literal keys, datapath segments, lambda.params[].name, and the SQL let binding name. Crafted values become executable expressions or identifiers, allowing arbitrary code execution in JavaScript, Ruby, and Python targets and SQL injection in the SQL target. This programmatic AST-object path is distinct from the plain-string constructor-chain sandbox escape. This issue is fixed in version 1.0.1.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.