Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-79
  • CWE-94
  • CWE-693
  • CWE-1336

CVE-2026-44267

Elo dilinde kaçış (sandbox escape) ile Node.js ve tarayıcıda keyfi kod çalıştırma açığı

enspirit elo

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
3 Kas 2026
Açık yaşı
0 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, sisteme gönderilen basit bir metin üzerinden saldırganın kendi kodunu çalıştırmasına olanak tanır ve sunuculardaki veya tarayıcılardaki oturumların ele geçirilmesine yol açabilir. Kritik seviyede bir risk olduğu için etkilenen kullanıcıların hemen güncelleme yapması gerekmektedir.

ÖzetTürkçe

Elo, no-code araçları için tasarlanmış saf fonksiyonel bir ifade dilidir. 1.0.1 öncesi sürümlerde, düz metin olarak verilen Elo ifadelerindeki erişimi filtrelenmediği için saldırgan JavaScript Function nesnesine ulaşabilmekte ve kendi kodunu çalıştırabilmektedir. Etkilenen sürüm enspirit elo 1.0.1 öncesidir.

Saldırgan ne yapabilir?

Saldırgan, tarayıcıda betik çalıştırabilir ve oturumu ele geçirebilir; Node.js ortamında ise kütüphane, CI veya DevOps sunucularında keyfi kod çalıştırabilir.

Kaynaktaki açıklama (İngilizce)

Elo is a purely functional expression language for no-code tools. Prior to 1.0.1, plain Elo strings supplied to defaultFormats.elo.parse(), bin/elo, or elo-lang.org/try can use .constructor.constructor to reach JavaScript Function because the member_access handler in src/transform.ts does not reject meta-properties, src/compilers/javascript.ts emits the surviving property directly, and src/parser.ts accepts constructor as an ordinary identifier. The resulting generated JavaScript executes attacker-selected code in the host runtime. This permits browser script execution and session compromise on the auto-running playground and arbitrary Node.js code execution on library, CI, or DevOps hosts. This plain-string path is distinct from the programmatic AST-object injection issue. This issue is fixed in version 1.0.1.

Ne yapmalı?

  1. enspirit elo ürününü 1.0.1 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Güncelleme yapılamıyorsa, Elo'ya dışarıdan gelen ifadeleri çalıştırmayı geçici olarak durdurun ve kullanıcıdan alınan metinlerin doğrudan Elo ile değerlendirilmesini engelleyin. Genel öneri
  3. Uygulamanızda Elo kullanan CI, DevOps veya tarayıcı tabanlı araçların hangi sürümü kullandığını kontrol edin ve tümünü güncelleyin. Genel öneri

Ek önlemler

  • Kullanıcı girdilerinin Elo ifadesi olarak işlenmesini mümkün olduğunca sınırlayın ve bu tür girdileri ayrı bir yetkisiz ortamda çalıştırın. Genel öneri
  • Sunucu ve CI ortamlarında Elo süreçlerinin beklenmedik dosya, ağ veya süreç etkinliği yapıp yapmadığını izleyin. Genel öneri
  • Herkese açık oynatma alanlarını (playground) üretim ortamlarından ayrı tutun ve bu alanlara erişimi kısıtlayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
enspirit elo < 1.0.1 1.0.1

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.