CVE-2026-44267: RCE in Elo no-code engine

Vulnerabilità RCE critica in Elo prima della 1.0.1 consente esecuzione di codice JavaScript scelto da attaccanti.

CVE-2026-44267 identifica una vulnerabilità di esecuzione di codice arbitrario (RCE) nel linguaggio di espressioni Elo, utilizzato in strumenti no-code. La falla colpisce versioni precedenti alla 1.0.1 e permette a utenti malintenzionati di eseguire codice JavaScript scelto nel browser tramite elo-lang.org/try, nella libreria Elo, o in ambienti Node.js come CI/CD e host DevOps. Il vettore di attacco è una stringa Elo fornita a defaultFormats.elo.parse() o bin/elo che sfrutta le meta-proprietà .constructor.constructor per raggiungere l'oggetto JavaScript Function.

La gravità è dichiarata CRITICAL con punteggio CVSS 9,8. La falla esiste perché il member_access handler in src/transform.ts non rifiuta le meta-proprietà, il compilatore JavaScript in src/compilers/javascript.ts emette la proprietà sopravvissuta direttamente nel codice generato, e il parser in src/parser.ts accetta 'constructor' come identificatore ordinario. È stata rilevata attività nel repository GitHub pubblico il 2026-11-04, segnale coerente con la pubblicazione NVD del 2026-11-03.

Per difendersi: aggiornate Elo alla versione 1.0.1 o successiva immediatamente su tutti i sistemi, inclusi playground web, librerie Node.js, pipeline CI/CD e host DevOps. Verificate la versione in esecuzione con 'elo --version' o consultando package.json. Se utilizzate elo-lang.org/try, sarà aggiornato automaticamente dal provider. Monitorate i log per esecuzioni sospette di Node.js o comportamenti anomali in CI/CD.

In sintesi

Cosa: CVE-2026-44267 è una vulnerabilità di esecuzione di codice arbitrario (RCE) nel linguaggio di espressioni Elo. Una stringa fornita a defaultFormats.elo.parse(), bin/elo, o elo-lang.org/try può sfruttare .constructor.constructor per raggiungere l'oggetto JavaScript Function, consentendo esecuzione di codice scelto dall'attaccante nel runtime dell'host.
Gravità: CVSS 9,8 (critical). RCE su browser tramite playground web, compromissione di sessioni, esecuzione di codice Node.js arbitrario su librerie, CI/CD e host DevOps. Impatto massimo su confidenzialità, integrità e disponibilità.
Versioni interessate: Tutte le versioni di Elo precedenti a 1.0.1. Colpisce stringhe Elo elaborate dal parser, compilatore JavaScript e handler member_access in src/transform.ts.
Correzione: Aggiornare Elo a versione 1.0.1 o successiva. La patch corregge il member_access handler in src/transform.ts per rifiutare le meta-proprietà, impedendo lo sfruttamento di .constructor.constructor.
Stato: Patch disponibile nella versione 1.0.1. Pubblicato nel NVD il 2026-11-03. Attività rilevata in repository GitHub pubblico il 2026-11-04. Sfruttamento attivo in natura non confermato.
Azione: Aggiornare immediatamente su tutti i sistemi: playground web, dipendenze npm, pipeline CI/CD, host DevOps. Verificare versione con 'elo --version'. Monitorare log per attività sospette. Playground web elo-lang.org/try sarà aggiornato automaticamente dal provider.

Fonti: NVD, CVE-2026-44267

← Tutti gli articoli