CVE-2026-40897
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
Biblioteka math.js dla JavaScript i Node.js w wersjach od 13.1.1 do 15.2.0 zawiera podatność umożliwiającą wykonanie dowolnego kodu JavaScript przez parser wyrażeń. Problem został naprawiony w wersji 15.2.0.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod JavaScript na serwerze lub w przeglądarce użytkownika, co prowadzi do pełnego przejęcia aplikacji, kradzieży danych lub dalszego ataku na infrastrukturę.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę math.js do wersji 15.2.0 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do parsera wyrażeń tylko dla zaufanych użytkowników.
Inne podatności w math.js
Zobacz wszystkie- CVE-2017-1001003Krytyczne
Wersje math.js przed 3.17.0 miały problem, w którym prywatne właściwości, takie jak konstruktor, mogły być zastępowane przy użyciu znaków unicode podczas tworzenia obiektu.
- CVE-2017-1001002Krytyczne
Wersje math.js przed 3.17.0 zawierają podatność na wykonanie dowolnego kodu w silniku JavaScript. Tworzenie typowanej funkcji z kodem JavaScript w nazwie może prowadzić do nieautoryzowanego wykonania kodu.
- CVE-2026-41139Wysokie
Biblioteka math.js dla JavaScript i Node.js w wersjach od 13.1.0 do 15.1.0 zawiera podatność umożliwiającą wykonanie dowolnego kodu JavaScript przez parser wyrażeń. Problem został naprawiony w wersji 15.2.0.
Oryginalny opis (angielski, źródło NVD)
Math.js is an extensive math library for JavaScript and Node.js. From 13.1.1 to before 15.2.0, a vulnerability allowed executing arbitrary JavaScript via the expression parser of mathjs. You can be affected when you have an application where users can evaluate arbitrary expressions using the mathjs expression parser. This vulnerability is fixed in 15.2.0.