Më 3 nëntor 2026, GitHub publikoi këshillën e sigurisë GHSA-7w38-ggh5-v542 (CVE-2026-44266) për një dobësi me rrezikshmëri kritike (CVSS 9.8) në paketën @enspirit/elo të ekosistemit npm.
Paketat e prekura
- @enspirit/elo (npm) — versionet e prekura:
<= 1.0.0; versioni me rregullim:1.0.1
Detaje
- Rrezikshmëria: Kritike (CVSS 9.8)
- CWE: CWE-94 (Improper Control of Generation of Code), CWE-116 (Improper Encoding or Escaping of Output), CWE-1336 (Improper Neutralization of Special Elements Used in a Template Engine)
- Identifikuesit: GHSA-7w38-ggh5-v542, CVE-2026-44266
Përmbledhja zyrtare (në anglisht)
Elo Ruby backend has Remote Code Execution via unescaped `#{…}` interpolation in emitted string literals and subtype-constraint labels — Summary Elo's Ruby backend emits attacker-controlled text into Ruby double-quoted strings without escaping the character. Because begins Ruby's interpolation sequences — {expr} , @ivar , @@cvar , $gvar — and any expression wrapped in {…} may use backticks for shell execution, an Elo program that contains a crafted string literal or a labelled subtype constraint compiles to Ruby that evaluates attacker-chosen Ruby, and through backticks runs attacker-chosen shell commands, at runtime. The same Elo source compiled to JavaScript, Python, or…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin @enspirit/elo, përditësojeni sa më shpejt në versionin 1.0.1 ose më të ri.
