Популярнейшая JS-библиотека оказалась опасной: найдена критическая уязвимость
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
Одна из самых популярных JavaScript-библиотек для работы с математическими выражениями – expr-eval – оказалась под угрозой из-за критической уязвимости. Исследователь в области кибербезопасности Jangwoo Choe обнаружил баг под названием “недостаточная валидация входных данных” в этой библиотеке, которую каждую неделю скачивают более 800 тысяч раз на платформе NPM. Почему это важно? Expr-eval помогает разработчикам безопасно вычислять формулы, введённые пользователем, и широко применяется во всех онлайн-калькуляторах, аналитических инструментах и приложениях с логикой на выражениях.
Проблема получила оценку критичности 9,8 из 10 и номер CVE-2025-12735. По оценке специалистов CERT/CC и трекеров отрасли, баг может быть использован злоумышленниками для удалённого внедрения вредоносного кода. Для этого не нужны никакие привилегии или подтверждения от пользователя, а атака способна полностью скомпрометировать конфиденциальность, целостность и доступность данных.
В бюллетене CERT говорится: «Эта возможность может быть использована для внедрения вредоносного кода, выполняющего системные команды, что открывает доступ к локальным ресурсам либо позволяет украсть данные». Сейчас уязвимость устранена – исправление было размещено в Pull Request #288.
Причина кроется в том, что библиотека допускала выполнение так называемых function objects и опасных значений в контексте вычислений. Если злоумышленник влияет на объект переменных, он может подбросить функцию, которая выйдет из «песочницы» и выполнит любой JavaScript-код. Все версии до 2.0.2 включительно считаются уязвимыми; проблема устранена в версии 2.0.3 и выше.
Пользователям советуют как можно скорее перейти на актуальную ветку expr-eval-fork, версию 3.0.0. Если ваши приложения используют функцию evaluate() с данными от пользователей или иного недоверенного источника, нужно немедленно прекратить обрабатывать такие данные без фильтрации – проверяйте объекты и не допускайте внедрения функций или модификации прототипов.
Expr-eval используется более чем в 250 проектах, согласно данным npmjs.com.
Источник: BleepingComputer
PEREC.RU
Заметили, как IT-безопасность давно стала жанром абсурдистского театра? Вот вам самая свежая пьеса: один из столпов веб-разработки, expr-eval — любимый калькулятор для программистов — внезапно оказался не волшебной палочкой, а чемоданом с двойным дном.
Фоновую музыку играет CERT — объявление о том, что уязвимость почти идеальна для зла: ни логинов не просит, ни жертв не ищет, а открывает двери, как по волшебству. С другой стороны, атаки на калькулятор и таблицы для матерых айтишников — всегда шоу с огоньком. Забудьте про протоколы, тут все как на TikTok: обновление – вот ваш лайфхак.
Это не скандал. Это банальный айти-будень. 250 проектов, новая магическая версия, штатные советы «проверяйте вводимые данные» и.. громкий хруст ваших иллюзий о безопасности в эпоху npm.Любой может всё, кроме разработчика, который не обновился.
