Titel (in Dutch)

Samenvatting (in Dutch)

Het artikel beschrijft een belangrijk cijfer in de softwarebeveiliging: CVE-2026-12866. Dit cijfer is gekoppeld aan een bug in een populaire JavaScript bibliotheek, expr-eval. Deze bug leidt tot Code Execution via de toJSFunction() API.

Wat het probleem is

Deze van CVE-2026-12866 is dat een gebruiker-toegangseigenaar kan uitvoeren willekeurige JavaScript-code door aan te passen expressies die worden omgezet in natieve code met behulp van de new Function() constructor. Dit komt doordat de gebruikersbeheerde expressies direct worden omgezet naar uitvoerbare JavaScript, waardoor de gebruiker-toegangseigenaar kan verdwijnen van de beveiligde sandbox en code kan uitvoeren in het context van de toepassing.

Technische uitleg voor defensie

Om deze bug te voorkomen, moet de bibliotheek expr-eval worden ge├╝pdatet naar versies 1.5.0 of hoger. Dit zal de toJSFunction() API vervangen door een veiliger methode om expressies te evalueren.

Veilige educatieve code

Hier is een voorbeeld van hoe je deze bug kunt detecteren en verhelpen:

const { Expression } = require('expr-eval');

function safeEvaluate(expression) {
  try {
    const parsedExpression = Expression.parse(expression);
    return parsedExpression.evaluate({ /* Gebruiker-toegangseigenaar data */ });
  } catch (error) {
    console.error('Er is een fout opgetreden tijdens het evalueren van de expressie:', error.message);
    return null;
  }
}

// Voorbeeld van gebruik
const userInput = 'Math.PI * 2'; // Gebruiker-toegangseigenaar data
const result = safeEvaluate(userInput);

if (result !== null) {
  console.log('Het resultaat is:', result);
} else {
  console.log('Er is een fout opgetreden tijdens het evalueren van de expressie.');
}

Veiligheidscontrolelijst

1. Gebruik altijd de nieuwste versie van expr-eval.
2. Implementeer input validatie voor gebruiker-toegangseigenaar data.
3. Gebruik een veilige methode om expressies te evalueren, zoals Expression.parse() en parsedExpression.evaluate({ /* Gebruiker-toegangseigenaar data */ }).

Bronnen

CVE-2026-12866 - Detalle CVSS, EPSS y CISA Kev | CVE Find (https://www.cvefind.com/es/cve/CVE-2026-12866.html)
GitHub Security Advisories: expr-eval (https://github.com/silentmatt/expr-eval/security/advisories/SNYK-JS-EXPREVAL-15054690)
NVD - CVE-2026-12866 (https://nvd.nist.gov/vuln/detail/CVE-2026-12866)
CWE-94 Improper Control of Generation of Code ('Code Injection') (https://cwe.mitre.org/data/definitions/94.html)