Eloのバックエンドでコードを注入される脆弱性、攻撃の悪用は未確認
Summary
Elo（ノーコードツー向けの式言語）のプログラム向けAPIに、検証されていない値を生成コードへ埋め込む脆弱性（CVE-2026-44265）が見つかりました。悪用されると、JavaScript・Ruby・Pythonの対象では任意のコードが実行され、SQLの対象ではSQLインジェクションが起きるおそれがあります。影響するのはnpmの@enspirit/eloで1.0.1より前の版で、1.0.1で修正されています。悪用の報告はまだ確認されていません。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Elo（ノーコードツー向けの式言語）のプログラム向けAPIに、検証されていない値を生成コードへ埋め込む脆弱性（CVE-2026-44265）が見つかりました。悪用されると、JavaScript・Ruby・Pythonの対象では任意のコードが実行され、SQLの対象ではSQLインジェクションが起きるおそれがあります。影響するのはnpmの@enspirit/eloで1.0.1より前の版で、1.0.1で修正されています。悪用の報告はまだ確認されていません。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| enspirit | elo | — | — |
| npm | @enspirit/elo |
< 1.0.1 |
1.0.1 |
Original description The description as published by the source.
Elo is a purely functional expression language for no-code tools. Prior to 1.0.1, Elo's programmatic AST API accepts arbitrary values from JSON-deserialized input, plugin output, or other untyped sources and interpolates them into generated JavaScript, Ruby, Python, or SQL without runtime syntax validation. The affected fields are int_literal / float_literal .value, variable.name, member_access.property, object_literal keys, datapath segments, lambda.params[].name, and the SQL let binding name. Crafted values become executable expressions or identifiers, allowing arbitrary code execution in JavaScript, Ruby, and Python targets and SQL injection in the SQL target. This programmatic AST-object path is distinct from the plain-string constructor-chain sandbox escape. This issue is fixed in version 1.0.1.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory github.com
- advisory github.com
- advisory nvd.nist.gov
- package github.com
- patch github.com
- patch github.com
- REDHAT Red Hat
- web github.com