CVSS 9.0 以上
CVE-2026-44267
要約
Elo は no-code ツール向けの純粋関数型の式言語で、バージョン 1.0.1 より前では、通常の Elo 文字列を defaultFormats.elo.parse()、bin/elo、elo-lang.org/try に渡すと、.constructor.constructor を使って JavaScript の Function に到達できる。これは、src/transform.ts の member_access ハンドラがメタプロパティを拒否せず、src/compilers/javascript.ts がそのプロパティをそのまま出力し、src/parser.ts が constructor を通常の識別子として受け入れるためである。生成された JavaScript はホストのランタイム上で攻撃者が選んだコードを実行し、この問題はバージョン 1.0.1 で修正された。
AI による要約です(公式発表の本文から作成)。
関連(タグ)
EloJavaScriptNode.js
このタグの新着を RSS で受け取る: Elo / JavaScript / Node.js(使い方)
判定の理由
- CVSS 9.0 以上