Título: Vulnerabilidade CVE-2026-12866 - Detalhes CVSS, EPSS e CISA Kev | CVE Find

Sumário

Este artigo descreve a vulnerabilidade CVE-2026-12866, que compromete o pacote expr-eval. O c├│digo-fonte do pacote ├® vulner├ível ao Code Execution atrav├®s da API toJSFunction(). Um atacante pode executar JavaScript arbitr├írio fornecendo express├Áes maliciosas compiladas em c├│digo nativo usando new Function(). Como express├Áes controladas pelo usu├írio s├úo transformadas diretamente em c├│digo JavaScript execut├ível, os ataques podem escapar o sandbox pretendido e executar c├│digo arbitr├írio dentro do contexto da aplica├º├úo.

Explica├º├úo t├®cnica para defensores

O pacote expr-eval ├® vulner├ível ├á Code Execution atrav├®s da API toJSFunction(). Esta vulnerabilidade se d├í porque o c├│digo-fonte do pacote constr├│i partes ou todo o segmento de c├│digo usando entrada externamente influenciada de um componente upstream, mas n├úo neutraliza ou incorretamente neutraliza elementos especiais.