CVE-2026-12866 : Vuln├®rabilit├® de s├®curit├® dans le package expr-eval

R├®sum├® :

CVE-2026-12866 est une vuln├®rabilit├® de s├®curit├® qui affecte le package expr-eval. Cette vuln├®rabilit├® se produit via l'utilisation de la fonction toJSFunction() API, permettant ├á un attaquant d'ex├®cuter du JavaScript arbitraire en fournissant des expressions crafted.

Explication technique pour les d├®fenseurs :

Le package expr-eval est vuln├®rable ├á une vuln├®rabilit├® de type Code Injection. Cette vuln├®rabilit├® se produit lorsque le produit construit toute ou partie d'un segment de code en utilisant des entr├®es externes influenc├®es par un composant upstream, mais ne neutralise pas ou ne neutralise incorrectement correctement les ├®l├®ments sp├®ciaux qui pourraient modifier la syntaxe ou le comportement du code intentionnel.

Code ├®ducatif s├╗r :

Voici un exemple de code pour ├®viter cette vuln├®rabilit├® :

function safeEval(expression) { try { // V├®rifier que l'expression est s├®curis├®e if (isValidExpression(expression)) { return new Function("return " + expression)(); } else { throw new Error("Expression non s├®curis├®e"); } } catch (error) { console.error("Erreur lors de l'├®valuation de l'expression :", error.message); } }