EloのCVE-2026-44266・44267はCritical―Ruby・JavaScript生成時のコード実行を修正

2026年11月3日UTC、Eloのコード生成処理に関する3件のCVEが公表されました。開発元の初回告知は10月30日です。npmパッケージ@enspirit/eloの1.0.0以前が対象で、修正版は1.0.1。CVE-2026-44266とCVE-2026-44267は開発元のCVSS v3.1で9.8、Criticalです。

CVE-2026-44266はRuby用コードを生成するときの問題です。外部から受け取った文字列や制約のラベルを出力する際に、Rubyの式展開を起こす文字を適切に処理していませんでした。生成したRubyを実行すると、データのつもりで渡した内容からコードが動くおそれがあります。RubyやRails本体の脆弱性ではありません。

CVE-2026-44267はJavaScript側のプロパティ参照の制限不足です。細工したEloの式からJavaScriptの関数生成へ到達でき、実行先がNode.jsならサーバー上のコード実行、ブラウザならその実行環境への影響につながります。外部入力をEloの式として処理するCLIやライブラリ利用も対象です。

別のCVE-2026-44265は、外部JSONなどから組み立てた構文木（AST）の値を検証せず各言語のコードへ出力する問題で、評価は7.4、Highです。3件とも1.0.1で修正されています。式の文字列を受け取る経路とASTを直接組む経路を分けて調べ、導入版と修正の取り込みを確認してください。公表された実証と実際の被害は区別が必要です。