PT-2026-136327
CVE-2026-44265
·
تاريخ النشر
2026-11-03
·
تاريخ التحديث
2026-11-03
الوصف من
CVSS 3.1
7.4
عاليةالمقاييسAV:L/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Elo الإصدارات السابقة لـ 1.0.1
Description
تقبل واجهة برمجة تطبيقات AST البرمجية في Elo قيمًا عشوائية من المدخلات التي تم إلغاء تسلسلها من JSON، أو مخرجات المكونات الإضافية، أو مصادر أخرى غير محددة النوع، وتقوم بدمجها في لغات JavaScript أو Ruby أو Python أو SQL التي يتم إنشاؤها دون التحقق من صحة بناء الجملة في وقت التشغيل. يسمح هذا للقيم المصممة خصيصًا بأن تصبح تعبيرات أو معرفات قابلة للتنفيذ، مما يؤدي إلى تنفيذ رمز عشوائي في أهداف JavaScript و Ruby و Python، وحقن SQL في هدف SQL. تؤثر هذه المشكلة على العديد من حقول AST، بما في ذلك
int literal / float literal .value و variable.name و member access.property ومفاتيح object literal وأجزاء datapath و lambda.params[].name واسم ربط let في SQL.Recommendations
تحديث Elo إلى الإصدار 1.0.1.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾