JVNVU#95007707    
JavaScriptライブラリexpr-evalおよびexpr-eval-forkに任意のコード実行につながる脆弱性

JavaScriptライブラリexpr-evalおよびexpr-eval-forkには、任意のコード実行につながる脆弱性が存在します。

• expr-eval 2.0.2およびそれ以前
• expr-eval-fork 2.0.2およびそれ以前

数式を評価するJavaScriptライブラリexpr-evalおよびexpr-eval-forkには、任意コード実行につながる脆弱性が存在します。（CVE-2025-12735、CWE-94）

細工された入力データがevaluate()関数で評価されることで、任意のコマンドが実行される可能性があります。

パッチを適用する
開発者が提供する情報をもとにパッチ（Pull Request #288.）を適用してください。

アップデートする
expr-eval-forkは、本脆弱性の対策を行ったバージョンv3.0.0をリリースしています。
expr-evalについては、2025年11月10日現在、アップデートなどの情報は確認できていません。

ベンダ	リンク
silentmatt	silentmatt/expr-eval Security Patch. #288
expr-eval-fork	expr-eval-fork - npm

1. CERT/CC Vulnerability Note VU#263614
   Vulnerability in expr-eval JavaScript library can lead to arbitrary code execution.
2. GitHub Advisory Database
   GHSA-jc85-fpwf-qm7x: expr-eval does not restrict functions passed to the evaluate function