Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-20
  • CWE-89
  • CWE-94
  • CWE-749

CVE-2026-44265

Elo: Programatik AST üzerinden JavaScript, Ruby, Python ve SQL kod enjeksiyonu

enspirit elo

Yüksek 7,4 CVSS 3.1
Yayımlandı
Güncellendi
3 Kas 2026
Açık yaşı
0 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, Elo kullanan otomasyon ve no-code uygulamalarında kontrolsüz kod veya veritabanı sorgusu çalıştırılmasına yol açabilir. Bu durum veri sızıntısı, veri değişikliği ve sistemin ele geçirilmesi riskini doğurur. Kullanılan sürümün mümkün olan en kısa sürede 1.0.1 veya üzeri bir sürüme yükseltilmesi önerilir.

ÖzetTürkçe

Elo, no-code araçlar için geliştirilmiş saf fonksiyonel bir ifade dilidir. 1.0.1 öncesi sürümlerde programatik AST API'si, JSON ile çözümlenen girdilerden, eklenti çıktılarından veya diğer tür denetimi yapılmamış kaynaklardan gelen değerleri çalışma zamanında sözdizimi doğrulamadan JavaScript, Ruby, Python veya SQL koduna ekler. Etkilenen, bu sürümü kullanan Elo tabanlı arka uç uygulamalarıdır.

Saldırgan ne yapabilir?

Saldırgan hazırlanmış değerlerle JavaScript, Ruby ve Python hedeflerinde keyfi kod çalıştırabilir, SQL hedefinde ise SQL enjeksiyonu gerçekleştirebilir.

Kaynaktaki açıklama (İngilizce)

Elo is a purely functional expression language for no-code tools. Prior to 1.0.1, Elo's programmatic AST API accepts arbitrary values from JSON-deserialized input, plugin output, or other untyped sources and interpolates them into generated JavaScript, Ruby, Python, or SQL without runtime syntax validation. The affected fields are int_literal / float_literal .value, variable.name, member_access.property, object_literal keys, datapath segments, lambda.params[].name, and the SQL let binding name. Crafted values become executable expressions or identifiers, allowing arbitrary code execution in JavaScript, Ruby, and Python targets and SQL injection in the SQL target. This programmatic AST-object path is distinct from the plain-string constructor-chain sandbox escape. This issue is fixed in version 1.0.1.

Ne yapmalı?

  1. Elo kütüphanesini 1.0.1 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Güncelleme yapılana kadar AST API'sine dış kaynaklardan gelen JSON verisi, eklenti çıktısı veya diğer güvenilmeyen girdilerin aktarılmasını durdurun ya da sınırlandırın. Genel öneri
  3. Güncellemeden sonra uygulamanın düzgün çalıştığını test edin ve yükseltmenin geliştirme, test ve üretim ortamlarının tamamında uygulandığını doğrulayın. Genel öneri

Ek önlemler

  • Kullanıcı girdilerinin programatik AST nesnelerine aktarılmadan önce ayrıştırılıp doğrulanması sağlanmalıdır. Genel öneri
  • SQL hedefi kullanılıyorsa veritabanı kullanıcılarının yetkileri en az ayrıcalık ilkesine göre sınırlandırılmalıdır. Genel öneri
  • Elo tarafından üretilen kod ve sorgularda beklenmeyen karakterler, yapılar veya çalışma hataları günlüklerden düzenli olarak izlenmelidir. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
enspirit elo < 1.0.1 1.0.1

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.