Título (em português)

Sumário (em português)

Este artigo explica a vulnerabilidade CVE-2026-12866, que ataca o pacote `expr-eval` e permite execu├º├úo de c├│digo arbitr├írio atrav├®s da fun├º├úo `toJSFunction()`. O artigo inclui uma explica├º├úo t├®cnica para defensores, um exemplo seguro de c├│digo educacional, checklist de mitiga├º├úo e refer├¬ncias.

O que ├® a vulnerabilidade/exploit

A vulnerabilidade CVE-2026-12866 ataca o pacote `expr-eval` e permite execu├º├úo de c├│digo arbitr├írio atrav├®s da fun├º├úo `toJSFunction()`. O exploit pode ser utilizado para executar qualquer c├│digo JavaScript fornecendo express├Áes criadas por um usu├írio controlado que s├úo compiladas em c├│digo nativo usando a fun├º├úo `new Function()`.

Explica├º├úo t├®cnica para defensores

O pacote `expr-eval` ├® vulner├ível ├á Code Execution via a fun├º├úo `toJSFunction()`, pois n├úo neutraliza ou incorretilmente neutraliza elementos especiais que podem modificar a sintaxe ou comportamento do c├│digo in