CVE-2026-44267

Nome do Software Vulnerável e Versões Afetadas Elo versões anteriores a 1.0.1

Description Strings simples de Elo fornecidas à função defaultFormats.elo.parse(), ao bin/elo ou ao endpoint elo-lang.org/try podem levar à execução de código selecionado por um invasor no ambiente de execução do host. Isso ocorre porque o manipulador member access em src/transform.ts não rejeita metapropriedades, o arquivo src/compilers/javascript.ts emite a propriedade diretamente e o src/parser.ts aceita constructor como um identificador comum. Um invasor pode usar .constructor.constructor para acessar o objeto Function do JavaScript, permitindo a execução de scripts no navegador e o comprometimento de sessões no playground, ou a execução de código Node.js arbitrário em hosts de biblioteca, CI ou DevOps.

Recommendations Atualize o Elo para a versão 1.0.1.