CVE-2026-44265

Nome do Software Vulnerável e Versões Afetadas Elo versões anteriores a 1.0.1

Description A API programática de AST do Elo aceita valores arbitrários de entradas desserializadas em JSON, saída de plugins ou outras fontes não tipadas e os interpola no JavaScript, Ruby, Python ou SQL gerados sem validação de sintaxe em tempo de execução. Isso permite que valores manipulados se tornem expressões ou identificadores executáveis, resultando na execução de código arbitrário nos alvos JavaScript, Ruby e Python, e injeção de SQL no alvo SQL. O problema afeta vários campos de AST, incluindo int literal / float literal .value, variable.name, member access.property, chaves de object literal, segmentos de datapath, lambda.params[].name e o nome de vinculação let do SQL.

Recommendations Atualize o Elo para a versão 1.0.1.