ztevenreal
- CVE-2025-12735 en expr-eval permite la ejecución remota de código mediante una evaluación de entrada insegura
- Versiones vulnerables ≤2.0.2; parcheado en 2.0.3 y dividido en expr-eval-fork 3.0.0
- Los desarrolladores deben desinfectar las variables y evitar entradas que no sean de confianza en las llamadas de evaluación()
Se ha descubierto que una biblioteca JavaScript ampliamente adoptada presenta una vulnerabilidad crítica que podría permitir a los actores de amenazas ejecutar código malvado de forma remota.
El investigador de seguridad Jangwoo Choe descubrió un error de “nervio de entrada insuficiente” en expr-eval, una biblioteca con más de 800.000 descargas semanales en NPM. Analiza y evalúa expresiones matemáticas a partir de cadenas y permite a los desarrolladores calcular de forma segura fórmulas ingresadas por el beneficiario. Generalmente, el script se utiliza en aplicaciones web para calculadoras, herramientas de estudio de datos y método basada en expresiones.
La vulnerabilidad recibió una puntuación de alcance de 9,8/10 (crítica) y ahora se rastrea como CVE-2025-12735. CERT/CC y los rastreadores de la industria clasifican el error como de parada impacto: afirman que es explotable de forma remota, no requiere privilegios ni interacción del beneficiario y puede comprometer total confidencialidad, integridad y disponibilidad.
Correcciones y mitigaciones
“Esta capacidad puede aprovecharse para inyectar código malvado que ejecuta comandos a nivel de sistema, potencialmente accediendo a posibles locales confidenciales o extrayendo datos”, se lee en un aviso del CERT. “Este problema se ha solucionado mediante la solicitud de ascendencia n.º 288”.
La causa principal del problema surge de que la biblioteca permite objetos de función y otros títulos peligrosos en el contexto de evaluación, por lo que un atacante que pueda influir en el objeto de variables puede proporcionar funciones que escapen del entorno prohibido y ejecuten JavaScript caprichoso.
Se decía que todas las versiones de la biblioteca hasta la 2.0.2 incluida eran vulnerables, y había una opción adecuado en las versiones 2.0.3 y posteriores.
Los usuarios igualmente pueden mitigar el aventura migrando a la cruce mantenida activamente expr-eval-fork, interpretación 3.0.0. Los usuarios cuyas aplicaciones llaman a evalua() en entradas proporcionadas por el beneficiario y que no son de confianza igualmente deben dejar de introducir inmediatamente datos que no sean de confianza y envolver o desinfectar objetos variables para que no se puedan inyectar funciones ni campos de modificación de prototipos.
La biblioteca goza de gran popularidad. Según npmjs.com, actualmente se utiliza en más de 250 proyectos.
A través de pitidocomputadora
El mejor antivirus para todos los bolsillos
Siga TechRadar en Google News y agréganos como fuente preferida para tomar noticiero, reseñas y opiniones de nuestros expertos en sus feeds. ¡Asegúrate de hacer clic en el mando Seguir!
Y por supuesto igualmente puedes Siga TechRadar en TikTok para noticiero, reseñas, unboxings en forma de video y reciba actualizaciones periódicas de nuestra parte en WhatsApp igualmente.
