Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-94
  • CWE-116
  • CWE-1336

CVE-2026-44266

Elo Ruby arka ucunda #{...} enterpolasyonu nedeniyle uzaktan kod çalıştırma

enspirit elo

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
3 Kas 2026
Açık yaşı
0 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, kötü niyetli bir kişinin Elo ile üretilen sistemlerde keyfi komut çalıştırmasına olanak tanır ve sunucunun tamamen ele geçirilmesi riskini doğurur. Etkilenen sürümü kullanan kuruluşların bu güncellemeyi öncelikli olarak uygulaması gerekir.

ÖzetTürkçe

Elo, no-code araçlar için tasarlanmış saf fonksiyonel bir ifade dilidir. 1.0.1 öncesi sürümlerde Ruby derleyicisi, saldırganın kontrolündeki metinleri Ruby çift tırnaklı dizgilerine kaçış (escape) yapmadan yerleştirmektedir; bu nedenle # karakteriyle başlayan Ruby enterpolasyon yapıları çalıştırılabilir hale gelmektedir. Etkilenen kullanımlar, Ruby hedefli /try oyun alanı, komut satırı aracının Ruby çıktısı modu ve Ruby kodu üretilen kütüphane kullanımlarıdır.

Saldırgan ne yapabilir?

Saldırgan, Ruby kodu ve ters tırnak (backtick) aracılığıyla işletim sistemi komutlarını çalıştırabilir; bu da sunucunun ele geçirilmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

Elo is a purely functional expression language for no-code tools. Prior to 1.0.1, the Ruby backend in src/compilers/ruby.ts embeds attacker-controlled text in Ruby double-quoted strings without escaping #, so Ruby interpolation forms in the string-literal emitter or the labelled subtype-constraint branch become executable Ruby. The affected entry points include the /try playground with the Ruby target, bin/eloc -t ruby -x, and defaultFormats.elo.parse() followed by Ruby emission. A failing labelled subtype constraint evaluates its message, while an ordinary string literal is evaluated when the compiled Ruby runs, allowing Ruby code and shell command execution through backticks. JavaScript, Python, and SQL emission are not affected by this Ruby-specific path. This issue is fixed in version 1.0.1.

Ne yapmalı?

  1. Elo kütüphanesini 1.0.1 veya daha yeni bir sürüme yükseltin. Üretici
  2. Ruby hedefiyle üretilmiş kodları, güncelleme yapılana kadar güvenilmeyen girdilerle üretmeyin ve mevcut çıktıları yeniden derleyin. Genel öneri
  3. Güncelleme sonrasında Ruby çıktısını yeniden üretip, derlenen kodun beklenmeyen komut veya kod içermediğini kontrol edin. Genel öneri

Ek önlemler

  • Elo'nun /try oyun alanını, Ruby hedefiyle herkese açık bir ortamda çalıştırmayın. Genel öneri
  • Uygulama sunucusunun işletim sistemi hesabına yalnızca gerekli yetkileri verin ve beklenmeyen kabuk komutlarını izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
enspirit elo < 1.0.1 1.0.1

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.