CVE-2026-12866
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece expr-eval umożliwia wykonanie dowolnego kodu JavaScript poprzez API toJSFunction(). Atakujący może dostarczyć spreparowane wyrażenia, które są kompilowane do natywnego kodu za pomocą new Function(), co pozwala na ominięcie zamierzonej piaskownicy wyrażeń i wykonanie dowolnego kodu w kontekście aplikacji.
Ocena ryzyka
Ryzyko dla organizacji obejmuje całkowite przejęcie kontroli nad aplikacją, kradzież danych, modyfikację lub usunięcie danych oraz potencjalne rozprzestrzenienie się ataku na inne systemy w sieci wewnętrznej.
Rekomendacja
Zaleca się natychmiastową aktualizację biblioteki expr-eval do najnowszej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest możliwa, należy zaprzestać używania API toJSFunction() lub zastosować dodatkowe mechanizmy walidacji i izolacji danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
All versions of the package expr-eval are vulnerable to Code Execution via the toJSFunction() API. An attacker can execute arbitrary JavaScript by supplying crafted expressions that are compiled into native code using new Function(). Because user-controlled expressions are transformed directly into executable JavaScript, attackers can escape the intended expression sandbox and run arbitrary code within the application's context.