JVNDB-2025-019282

JavaScript ライブラリ expr-eval および expr-eval-fork に任意のコード実行につながる脆弱性

数式を評価する JavaScript ライブラリ expr-eval および expr-eval-fork には、任意コード実行につながる脆弱性が存在します。 (CVE-2025-12735、CWE-94)

expr-eval-fork

• expr-eval-fork 2.0.2 およびそれ以前

silentmatt

• expr-eval 2.0.2 およびそれ以前

細工された入力データが evaluate() 関数で評価されることで、任意のコマンドが実行される可能性があります。

[パッチを適用する]
開発者が提供する情報をもとにパッチ (Pull Request #288.) を適用してください。

[アップデートする]
expr-eval-fork は、本脆弱性の対策を行ったバージョン v3.0.0 をリリースしています。
expr-eval については、2025 年 11 月 10 日現在、アップデートなどの情報は確認できていません。

expr-eval-fork

• expr-eval-fork : expr-eval-fork - npm

silentmatt

• silentmatt : silentmatt/expr-eval Security Patch. #288

1. コード・インジェクション(CWE-94) [その他]

1. CVE-2025-12735

1. JVN : JVNVU#95007707
2. US-CERT Vulnerability Note : VU#263614
3. 関連文書 : GHSA-jc85-fpwf-qm7x: expr-eval does not restrict functions passed to the evaluate function

• [2025年11月17日]
    掲載