Eloのバックエンドでコードを注入される脆弱性、攻撃の悪用は未確認
概要
Elo（ノーコードツー向けの式言語）のプログラム向けAPIに、検証されていない値を生成コードへ埋め込む脆弱性（CVE-2026-44265）が見つかりました。悪用されると、JavaScript・Ruby・Pythonの対象では任意のコードが実行され、SQLの対象ではSQLインジェクションが起きるおそれがあります。影響するのはnpmの@enspirit/eloで1.0.1より前の版で、1.0.1で修正されています。悪用の報告はまだ確認されていません。
AI要約
SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Elo（ノーコードツー向けの式言語）のプログラム向けAPIに、検証されていない値を生成コードへ埋め込む脆弱性（CVE-2026-44265）が見つかりました。悪用されると、JavaScript・Ruby・Pythonの対象では任意のコードが実行され、SQLの対象ではSQLインジェクションが起きるおそれがあります。影響するのはnpmの@enspirit/eloで1.0.1より前の版で、1.0.1で修正されています。悪用の報告はまだ確認されていません。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| enspirit | elo | — | — |
| npm | @enspirit/elo |
1.0.1 未満 |
1.0.1 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Elo is a purely functional expression language for no-code tools. Prior to 1.0.1, Elo's programmatic AST API accepts arbitrary values from JSON-deserialized input, plugin output, or other untyped sources and interpolates them into generated JavaScript, Ruby, Python, or SQL without runtime syntax validation. The affected fields are int_literal / float_literal .value, variable.name, member_access.property, object_literal keys, datapath segments, lambda.params[].name, and the SQL let binding name. Crafted values become executable expressions or identifiers, allowing arbitrary code execution in JavaScript, Ruby, and Python targets and SQL injection in the SQL target. This programmatic AST-object path is distinct from the plain-string constructor-chain sandbox escape. This issue is fixed in version 1.0.1.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- advisory github.com
- advisory github.com
- advisory nvd.nist.gov
- package github.com
- patch github.com
- patch github.com
- REDHAT Red Hat
- web github.com