PT-2026-51474
CVE-2026-12866
·
تاريخ النشر
2026-06-23
·
تاريخ التحديث
2026-10-05
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
expr-eval (لم يتم تحديد الإصدارات المتأثرة)
الوصف
يمكن تنفيذ التعليمات البرمجية عبر واجهة برمجة التطبيقات (API) ’toJSFunction()‘. يمكن للمهاجم تنفيذ تعليمات JavaScript تعسفية عن طريق توفير تعبيرات مصممة خصيصًا يتم ترجمتها إلى كود أصلي باستخدام
new Function(). ونظرًا لأن التعبيرات التي يتحكم فيها المستخدم يتم تحويلها مباشرةً إلى تعليمات JavaScript قابلة للتنفيذ، يمكن للمهاجمين الهروب من بيئة الحماية المخصصة للتعبير المقصود وتشغيل تعليمات برمجية تعسفية ضمن سياق التطبيق. تؤثر هذه المشكلة على ما يقرب من 800,000 عملية تنزيل أسبوعية من npm ولا تتطلب أي مصادقة أو تفاعل من المستخدم.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
كحل مؤقت، يُنصح بتعطيل واجهة برمجة التطبيقات (API) ’toJSFunction()‘ حتى يتوفر تصحيح.
قابلية الاستغلال
استغلال
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾