L’API AST programmatique d’Elo laisse plusieurs champs non validés être interpolés directement dans le code généré, notamment pour son backend Python. Des valeurs AST provenant d’entrées non fiables peuvent donc injecter du code dans les sorties Python ; les versions jusqu’à 1.0.0 sont concernées et la version 1.0.1 corrige le problème.
Analyse technique
L’avis décrit plusieurs catégories de champs AST dont les valeurs sont émises sans validation ni échappement ; il mentionne explicitement le backend Python et l’exécution de code résultant. Les scores ou impacts globaux de l’avis couvrant plusieurs backends ne sont pas attribués séparément à Python ici.
Impact, versions et correctif
Détection / vérification
Repérer l’usage de @enspirit/elo ≤ 1.0.0 et l’alimentation de son API AST programmatique par des données non fiables, puis la génération de code avec les backends concernés.
Action recommandée
Mettre à niveau @enspirit/elo vers 1.0.1 ou une version ultérieure et éviter de fournir des AST issus de sources non fiables aux versions vulnérables.
Sources
Priorisation DFS : P3 · 2 source(s).