Elo 표현식 언어에서 외부 입력으로 코드 실행 및 SQL 주입 가능

요약

Elo는 노코드 도구에서 쓰는 표현식 언어입니다. 검증되지 않은 값이 AST API, Ruby 백엔드, 일반 문자열 경로를 통해 JavaScript, Ruby, Python, SQL 코드로 들어가 코드가 실행되거나 SQL 주입이 일어날 수 있습니다.

해당 조건

• 검증 없이 AST API에 외부 값을 넣는 경우
• Ruby 백엔드로 컴파일하는 경우
• 일반 문자열을 JavaScript로 컴파일하는 경우

대처법

Elo 1.0.1 이상으로 업데이트하세요.

대상 제품과 운영체제

• elo

CVE 번호

• CVE-2026-44265 (새 탭에서 열림)
• CVE-2026-44266 (새 탭에서 열림)
• CVE-2026-44267 (새 탭에서 열림)

원문 링크

• 분석 글: github.com (새 탭에서 열림) · github.com (새 탭에서 열림) · github.com (새 탭에서 열림)
• CVE 기록: cve.org (새 탭에서 열림) · cve.org (새 탭에서 열림) · cve.org (새 탭에서 열림)
• 보호나라 공지: KISA 보호나라: enspirit 제품 보안 업데이트 권고 (새 탭에서 열림)

시각

처음 게시 2026-11-04 02:47

처음 확인 2026-11-09 23:50