¿Qué es la vulnerabilidad CVE-2026-44267 en Elo?

CVE-2026-44267 es una vulnerabilidad crítica de seguridad que afecta a Elo, un lenguaje de expresiones puramente funcional utilizado en herramientas no-code. Este fallo comparte similitudes con otros problemas de control de accesos como una vulnerabilidad crítica CVSS 8.4 o riesgos de escalada de privilegios local sin interacción.

La causa raíz radica en que las cadenas de texto simples suministradas a defaultFormats.elo.parse(), bin/elo o elo-lang.org/try pueden utilizar.constructor.constructor para alcanzar la función interna de JavaScript. Esto ocurre porque el manejador member_access en src/transform.ts no rechaza las metapropiedades.

¿A quién afecta y qué riesgos presenta?

El código JavaScript generado resultante ejecuta código seleccionado por un atacante en el entorno de ejecución del host. Este nivel de criticidad recuerda a fallos complejos de gestión de memoria como una vulnerabilidad use-after-free con CVSS.

Esta brecha permite la ejecución de scripts en el navegador y el compromiso de sesiones en entornos de prueba auto-ejecutables, además de la ejecución arbitraria de código Node.js en hosts de bibliotecas, servidores de integración continua o infraestructura DevOps.

¿Cómo me protejo ante esta vulnerabilidad?

Para proteger sus aplicaciones frente a esta ejecución remota de código, es imperativo aplicar los parches de seguridad publicados por los desarrolladores y actualizar las dependencias afectadas.

Puede consultar los detalles técnicos oficiales en el [[https://github.com/enspirit/elo/security/advisories/GHSA-33r5-xmm8-v6x5|aviso de seguridad en GitHub]], revisar los cambios de código en el [[https://github.com/enspirit/elo/commit/2136da1f64eec8ebf99890d3100be9394534b842|commit de referencia]], examinar las modificaciones adicionales en el [[https://github.com/enspirit/elo/commit/d2a89a8db76a244eb740687524a7e8529b7554b5|segundo commit técnico]], o consultar los registros en [[https://www.cve.org/CVERecord?id=CVE-2026-44267|CVE.org]] y [[https://nvd.nist.gov/vuln/detail/CVE-2026-44267|NIST NVD]].

  1. Localice todos los proyectos y servicios que utilicen la biblioteca Elo en versiones anteriores a 1.0.1.
  2. Actualice el paquete Elo a la versión 1.0.1 o superior utilizando su gestor de paquetes habitual.
  3. Revise los entornos de integración continua y despliegue para garantizar que no queden artefactos con versiones vulnerables.
  4. Valide y filtre estrictamente las entradas de texto plano que procese el lenguaje de expresiones.