Elo : évasion du bac à sable par accès non filtré à `constructor`

Veille sécuritéBackend & données

P3Critique

L’émetteur JavaScript Elo permettait l’accès non filtré à des propriétés comme `constructor`, ce qui pouvait transformer une entrée Elo contrôlée par un attaquant en exécution de code dans le moteur JavaScript hôte. Le problème concernait notamment la bibliothèque, l’interface en ligne de commande et le bac à sable navigateur ; mettez à niveau `@enspirit/elo` vers 1.0.1.

IdentifiantCVE-2026-44267

GravitéCritique

Exploitationnon connue / non déterminée

Correctif1.0.1

Source : GHSA-r4q5-vmmm-2653 — Elo JavaScript emitter

Analyse technique

L’accès aux membres n’effectuait pas de filtrage des noms de propriétés et l’émetteur JavaScript incorporait ces noms dans le code généré. L’avis décrit les surfaces bibliothèque, CLI et bac à sable navigateur ; ne pas traiter du contenu non fiable comme du code Elo sûr.

Impact, versions et correctif

Événement datéL’avis GitHub indique une publication le 2026-11-03T17:53:42Z, comprise dans la période demandée ; l’événement retenu est la publication de l’avis et de la vulnérabilité.

ImpactUne entrée Elo malveillante peut conduire à l’exécution de code arbitraire dans l’environnement JavaScript qui compile ou exécute le résultat.

Versions affectéesVersions d’@enspirit/elo jusqu’à 1.0.0 incluse

Version corrigée1.0.1

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.8

Publication2026-11-03T17:53:42Z

Mise à jour2026-11-03T17:53:43Z

Action recommandée

Mettre à niveau `@enspirit/elo` vers 1.0.1 ou ultérieure et ne pas traiter des entrées Elo contrôlées par des utilisateurs comme des données inoffensives avant la mise à niveau.

Sources

Priorisation DFS : P3 · 2 source(s).