JVNVU#95007707
JavaScriptライブラリexpr-evalおよびexpr-eval-forkに任意のコード実行につながる脆弱性

JavaScriptライブラリexpr-evalおよびexpr-eval-forkには、任意のコード実行につながる脆弱性が存在します。

• expr-eval 2.0.2およびそれ以前
• expr-eval-fork 2.0.2およびそれ以前

数式を評価するJavaScriptライブラリexpr-evalおよびexpr-eval-forkには、任意コード実行につながる脆弱性が存在します。（CVE-2025-12735、CWE-94）

細工された入力データがevaluate()関数で評価されることで、任意のコマンドが実行される可能性があります。

パッチを適用する
開発者が提供する情報をもとにパッチ（Pull Request #288.）を適用してください。

アップデートする
expr-eval-forkは、本脆弱性の対策を行ったバージョンv3.0.0をリリースしています。
expr-evalについては、2025年11月10日現在、アップデートなどの情報は確認できていません。