這個非常流行的 JavaScript 庫可能存在一些令人擔憂的惡意軟件問題

• expr-eval 中的 CVE-2025-12735 允許通過不安全的輸入評估遠程執行代碼
• 易受攻擊的版本.02.0.2；在 2.0.3 中更正並在 expr-eval-fork 3.0.0 中分叉
• 開發人員應該更正變量並避免在evaluate() 調用中輸入不可靠的輸入。

在廣泛採用的 JavaScript 庫中發現了一個嚴重漏洞，該漏洞可能允許威脅行為者遠程執行惡意代碼。

安全研究員 Jangwoo Choe 在 expr-eval 中發現了一個“無輸入驗證”錯誤，該庫在 NPM 上每週下載量超過 800,000 次。它解析和評估字符串中的數學表達式，並允許開發人員安全地計算用戶輸入的公式。通常，該腳本用於計算器、數據分析工具和基於表達式的邏輯的 Web 應用程序。