CVSS 9.0 以上
CVE-2026-44266
要約
Elo は、ノーコードツール向けの純粋関数型の式言語である。バージョン 1.0.1 より前では、src/compilers/ruby.ts の Ruby バックエンドが、攻撃者が制御できるテキストを # をエスケープせずに Ruby の二重引用符文字列へ埋め込んでおり、文字列リテラルの出力部分とラベル付きサブタイプ制約の分岐で Ruby の補間形式が実行可能な Ruby コードになる。影響を受ける入口には、Ruby ターゲットの /try プレイグラウンド、bin/eloc -t ruby -x、defaultFormats.elo.parse() に続く Ruby 出力が含まれ、バッククォートによる Ruby コードとシェルコマンドの実行が可能になる。JavaScript、Python、SQL の出力はこの Ruby 固有の経路の影響を受けず、この問題はバージョン 1.0.1 で修正されている。
AI による要約です(公式発表の本文から作成)。
関連(タグ)
EloRubyJavaScriptPythonSQL
このタグの新着を RSS で受け取る: Elo / Ruby / JavaScript / Python / SQL(使い方)
判定の理由
- CVSS 9.0 以上