expr-eval no restringe las funciones pasadas a la función evaluate

La vulnerabilidad de RCE en expr-eval permite a un atacante comprometer completamente la aplicación Node.js que utiliza esta biblioteca. El atacante puede inyectar código JavaScript malicioso a través de las variables proporcionadas a la función evaluate(). Este código puede realizar una amplia gama de acciones, incluyendo la lectura y modificación de archivos, la ejecución de comandos del sistema operativo, el robo de credenciales y el movimiento lateral dentro de la red. La severidad de esta vulnerabilidad es alta debido a su potencial para causar un daño significativo. Si la aplicación expone la función evaluate() a través de una API web, el riesgo se amplifica considerablemente, permitiendo a atacantes externos explotar la vulnerabilidad sin necesidad de acceso interno.

Applications built with Node.js that utilize the expr-eval library for expression evaluation are at risk. This includes applications that accept user-supplied input and use it within mathematical expressions. Shared hosting environments where multiple applications share the same Node.js runtime are particularly vulnerable, as a compromise in one application could potentially affect others.

• nodejs / server:

  npm list expr-eval | grep -i '2.0.2'

• nodejs / server:

  find /var/www/your-app -type f -name "*.js" -exec grep -i 'evaluate(' {} + | less

• generic web: Inspect application code for usage of expr-eval and version numbers. Review access logs for unusual requests containing potentially malicious expressions.

1. 2025-11-05Disclosure

   disclosure

1. Reservado2025-11-05
2. Publicada2025-11-05
3. Modificada2026-02-04
4. EPSS actualizado2026-03-23

La mitigación principal para CVE-2025-12735 es actualizar la biblioteca expr-eval a la versión 3.0.1 o superior, que incluye la corrección de la vulnerabilidad. Si la actualización inmediata no es posible, considere implementar medidas de seguridad adicionales. Una posible solución temporal es validar y sanitizar estrictamente todas las variables proporcionadas a la función evaluate(), asegurándose de que solo contengan valores seguros y esperados. Además, se recomienda implementar un firewall de aplicaciones web (WAF) con reglas que detecten y bloqueen intentos de inyección de código malicioso. Monitorear los registros de la aplicación en busca de patrones sospechosos, como la ejecución de comandos inesperados o el acceso a archivos sensibles, también puede ayudar a detectar y responder a posibles ataques.