Titre (en fran├ºais)

R├®sum├® (en fran├ºais)

Le vuln├®rabilit├® CVE-2026-12866 concerne le package expr-eval, qui est vuln├®rable ├á l'ex├®cution de code arbitraire via l'API toJSFunction(). Un attaquant peut ex├®cuter du JavaScript arbitraire en fournissant des expressions crafted qui sont compil├®es en code natif ├á l'aide de new Function(). En raison que les expressions contr├┤l├®es par l'utilisateur sont transform├®es directement en JavaScript ex├®cutable, les attaquants peuvent ├®chapper au cadre d'expression s├®curis├® et ex├®cuter du code arbitraire dans le contexte de l'application.

Explication technique pour les d├®fenseurs

Le package expr-eval est vuln├®rable ├á l'ex├®cution de code arbitraire via l'API toJSFunction() car il construit partiellement ou int├®gralement un segment de code en utilisant des entr├®es externes influenc├®es par un composant upstream, mais ne neutralise pas ou ne neutralise pas incorrectement les ├®l├®ments s├®curis├®s.