Më 3 nëntor 2026, GitHub publikoi këshillën e sigurisë GHSA-33r5-xmm8-v6x5 (CVE-2026-44267) për një dobësi me rrezikshmëri kritike (CVSS 9.8) në paketën @enspirit/elo të ekosistemit npm.
Paketat e prekura
- @enspirit/elo (npm) — versionet e prekura:
<= 1.0.0; versioni me rregullim:1.0.1
Detaje
- Rrezikshmëria: Kritike (CVSS 9.8)
- CWE: CWE-79 (Improper Neutralization of Input During Web Page Generation), CWE-94 (Improper Control of Generation of Code), CWE-693 (Protection Mechanism Failure), CWE-1336 (Improper Neutralization of Special Elements Used in a Template Engine)
- Identifikuesit: GHSA-33r5-xmm8-v6x5, CVE-2026-44267
Përmbledhja zyrtare (në anglisht)
Elo JavaScript emitter has sandbox escape to arbitrary Node.js / browser code execution via unfiltered `.constructor` member access — Summary An unauthenticated attacker who controls a string passed to any Elo JavaScript-emission path — defaultFormats.elo.parse() , the bin/elo CLI, or the live browser playground at elo-lang.org/try — can execute arbitrary code in the host JavaScript runtime. A payload built from the .constructor.constructor chain compiles, without modification, to a live Function invocation in the emitted JavaScript, escaping any sandbox assumption around "Elo is a safe data/DSL language." Vulnerable sink and root cause Three interacting sites in src/ produce the bug…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin @enspirit/elo, përditësojeni sa më shpejt në versionin 1.0.1 ose më të ri.
