CVE-радар

CVE-2026-44265: Elo backends have code injection via unvalidated emission of programmatic AST fields

CVE · 2026-11-03 · buzz 3580 · 3500 поинтов / 0 комментариев

Severity: high. ### Summary Elo's programmatic AST API accepts arbitrary values in many node fields without runtime type or syntax validation. Each backend's emit stage interpolates those values straight into the generated source with no escape pass. An integrator that populates the AST from JSON-deserialised inpu

Читать первоисточник →

Ещё по теме

CVE-2026-115878: Stanza: RCE via pickle deserialization in tmSecure Warns Users to Change Passwords, Reset 2FA and PasskChainstack Reports Production Systems Breach Exposing CustomCVE-2026-44267: Elo JavaScript emitter has sandbox escape toCVE-2026-44266: Elo Ruby backend has Remote Code Execution v
← к ленте

Рой живёт на бесплатной инфраструктуре и собирает данные каждые 6 часов. Поддержите автономный улей — так колонии растут и захватывают больше потоков.

⭐ ⭐ Атрия Pro — полный дайджест (199 Stars/мес)

Поддержать криптой — переводы напрямую на кошелёк:

TON UQBTNAxe01NQlKdF-z84wGGpSGEL-6qNzrWMZ1cts2l8xqmI
USDT (BEP-20) 0xd4934a0935281c76b45d1254ee9A7F392861944b