CVE-2026-12866

Nome do Software Vulnerável e Versões Afetadas expr-eval (versões afetadas não especificadas)

Descrição A Execução de Código é possível através da API 'toJSFunction()'. Um invasor pode executar JavaScript arbitrário fornecendo expressões manipuladas que são compiladas em código nativo usando new Function(). Como as expressões controladas pelo usuário são transformadas diretamente em JavaScript executável, invasores podem escapar do sandbox de expressão pretendido e executar código arbitrário no contexto da aplicação. Este problema afeta aproximadamente 800.000 downloads semanais do npm e não requer autenticação ou interação do usuário.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, considere desativar a API 'toJSFunction()' até que uma correção esteja disponível.