CVE-2026-44266: RCE critico nel backend Ruby di Elo

CVE-2026-44266 è una vulnerabilità di Remote Code Execution nel backend Ruby di Elo, linguaggio di espressione per tool no-code. La falla risiede in src/compilers/ruby.ts, dove testo controllato dall'attaccante viene inserito in stringhe Ruby double-quoted senza escape del carattere #. Questo abilita l'interpolazione Ruby nel literal string emitter e nel ramo labelled subtype-constraint, consentendo esecuzione arbitraria di codice Ruby e comandi shell tramite backtick.

La vulnerabilità ha CVSS 9,8 (Critical) e non richiede autenticazione. Entry point multipli: il /try playground quando target è Ruby, il comando bin/eloc -t ruby -x, la combinazione defaultFormats.elo.parse() seguita da emissione Ruby. Il fix è disponibile ufficialmente in versione 1.0.1. Segnali sociali: 4 post pubblici riportano la falla nelle ultime 24 ore, confermando consapevolezza della criticità.

Team IT e sysadmin devono agire immediatamente. Verificare quale versione di Elo è in uso, soprattutto dove il /try playground è esposto o bin/eloc è in esecuzione. Aggiornare a versione 1.0.1 o superiore nelle prossime ore. Se l'aggiornamento non è realizzabile immediatamente, disabilitare l'accesso al /try playground con backend Ruby e valutare l'isolamento di bin/eloc dai sistemi di rete. Monitorare i log di accesso e esecuzione per rilevare qualunque tentativo di sfruttamento.

La vulnerabilità colpisce esclusivamente il percorso di compilazione Ruby di Elo. I backend JavaScript, Python e SQL non sono interessati da questa debolezza nella gestione di stringhe e interpolazione. Questo indica che il corretto escaping è stato implementato in quegli altri compilatori, ma non in quello Ruby, evidenziando il rischio di inconsistenza nella generazione di codice multi-target.