CVE-2026-41139
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
Biblioteka math.js dla JavaScript i Node.js w wersjach od 13.1.0 do 15.1.0 zawiera podatność umożliwiającą wykonanie dowolnego kodu JavaScript przez parser wyrażeń. Problem został naprawiony w wersji 15.2.0.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod JavaScript w kontekście aplikacji, co może prowadzić do przejęcia kontroli nad serwerem, kradzieży danych lub innych nieautoryzowanych działań.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę math.js do wersji 15.2.0 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do parsera wyrażeń tylko dla zaufanych danych wejściowych.
Inne podatności w math.js
Zobacz wszystkie- CVE-2017-1001003Krytyczne
Wersje math.js przed 3.17.0 miały problem, w którym prywatne właściwości, takie jak konstruktor, mogły być zastępowane przy użyciu znaków unicode podczas tworzenia obiektu.
- CVE-2017-1001002Krytyczne
Wersje math.js przed 3.17.0 zawierają podatność na wykonanie dowolnego kodu w silniku JavaScript. Tworzenie typowanej funkcji z kodem JavaScript w nazwie może prowadzić do nieautoryzowanego wykonania kodu.
- CVE-2026-40897Wysokie
Biblioteka math.js dla JavaScript i Node.js w wersjach od 13.1.1 do 15.2.0 zawiera podatność umożliwiającą wykonanie dowolnego kodu JavaScript przez parser wyrażeń. Problem został naprawiony w wersji 15.2.0.
Oryginalny opis (angielski, źródło NVD)
Math.js is an extensive math library for JavaScript and Node.js. From version 13.1.0 to before version 15.2.0, arbitrary JavaScript can be executed via the expression parser of mathjs. This issue has been patched in version 15.2.0.