Eyal Estrin unread, 12:11 AM (3 minutes ago)    to https://kb.cert.org/vuls/id/263614 https://www.bleepingcomputer.com/news/security/popular-javascript-library-expr-eval-vulnerable-to-rce-flaw/ Eyal Estrin CISSP, CCSP, CISM, CISA, CDPSE, CCSK Blog: https://security-24-7.com | Books: https://amzn.to/42Xai9A | https://amzn.to/3Sggbtv Twitter: @eyalestrin | Bluesky: @eyalestrin.bsky.social

2025年11月8日 NPMで週80万超のダウンロードがある数式パーサ「expr-eval」に、細工した入力から任意コード実行（RCE）が可能になる致命的な脆弱性（CVE-2025-12735、CVSS 9.8）が見つかりました。CERT/CCは修正パッチを元リポジトリにプルリクエスト（PR #288）として提出していますが、現時点でマージは未定です。一方、アクティブにメンテナンスされているフォー...

（画像クレジット：Shutterstock / BEST-BACKGROUNDS） expr-evalのCVE-2025-12735は、不正な入力評価によるリモートコード実行を許します 脆弱なバージョンは2.0.2以下；2.0.3で修正、expr-eval-fork 3.0.0でフォーク 開発者は変数をサニタイズし、evaluate()呼び出しで信頼できない入力を避けるべきです 広く採用されているJavaScriptライブラリに、攻撃者がリモートで悪意のあるコードを実行できる重大な脆弱性が発見されました。 セキュリティ研究者のJangwoo Choe氏は、expr-evalというNPMで週80万回以上ダウンロードされているライブラリに「不十分な入力検証」バグを発見しました。このライブラリは、文字列から数式を解析・評価し、開発者がユーザー入力の数式を安全に計算できるようにします。一般的に、このスクリプトはウェブアプリの電卓、データ分析ツール、式ベースのロジックなどで使用されています。 この脆弱性には9.8/10（クリティカル）の深刻度スコアが与えられ、CVE-2025-12735として追跡されています。CERT/CCや業界のトラッカーは、このバグを高い影響度と分類しており、「リモートから悪用可能で、権限やユーザー操作を必要とせず、機密性・完全性・可用性のすべてを侵害される可能性がある」としています。 修正と緩和策 「この機能は、悪意のあるコードを注入し、システムレベルのコマンドを実行、機密性の高いローカルリソースへのアクセスやデータの流出を引き起こす可能性があります」とCERTの勧告は述べています。「この問題はプルリクエスト#288で修正されました。」 この問題の根本原因は、ライブラリが関数オブジェクトやその他の危険な値を評価コンテキストに許可していることにあり、攻撃者が変数オブジェクトに影響を与えられる場合、サンドボックスを抜け出して任意のJavaScriptを実行する関数を渡すことができます。 2.0.2までのすべてのバージョンが脆弱とされており、2.0.3以降で修正されています。 ユーザーは、積極的にメンテナンスされているフォーク版expr-eval-fork（バージョン3.0.0）に移行することでリスクを軽減できます。また、ユーザーが提供した、または信頼できない入力に対してevaluate()を呼び出しているアプリのユーザーは、直ちに信頼できないデータの入力をやめ、変数オブジェクトをラップまたはサニタイズして、関数やプロトタイプの改変フィールドが注入されないようにすべきです。 このライブラリは広く人気があります。npmjs.comによると、現在250以上のプロジェクトで使用されています。 出典：BleepingComputer GoogleニュースでTechRadarをフォローし、 お気に入りの情報源に追加して、私たちの専門ニュース、レビュー、意見をフィードで受け取りましょう。フォローボタンをクリックするのをお忘れなく！ もちろん、TikTokでTechRadarをフォローして、ニュース、レビュー、開封動画などを動画でチェックし、WhatsAppでも定期的に最新情報を受け取れます。 翻訳元:

A critical vulnerability in the popular expr-eval JavaScript library, with over 800,000 weekly downloads on NPM, can be exploited to execute code remotely through maliciously crafted input.

ALT: a cartoon penguin is standing in the snow next to a penguin .

Security researcher Jangwoo Choe discovered a critical remote code execution (RCE) vulnerability, CVE-2025-12735, in the popular JavaScript library expr-eval. The flaw lets attackers execute arbitrary code and seize full control over hundreds of affected projects.

Origin

A Blog post by Jiarong Xing on Hugging Face

A critical vulnerability in the popular expr-eval JavaScript library, with over 800,000 weekly downloads on NPM, can be exploited to execute code remotely through maliciously crafted input. [...]