漏洞详情

CVE-2025-12735 是一个在 expr-eval JavaScript库中发现的高严重性安全漏洞。expr-eval是一个用于安全评估包含用户定义变量的数学表达式的表达式解析器和求值器。由于输入验证不足，攻击者可以将一个精心构造的变量对象传递给evaluate()函数，从而触发任意代码执行。

受影响包及版本

• npm包: expr-eval
  • 受影响版本：<= 2.0.2
  • 已修补版本：无
• npm包: expr-eval-fork (分支)
  • 受影响版本：<= 3.0.0
  • 已修补版本：无

严重性评估

该漏洞被评定为 高严重性，其CVSS v4总体评分为 8.6。

CVSS v4 基础指标:

• 攻击向量 (AV): 本地 (L)
• 攻击复杂度 (AC): 低 (L)
• 攻击要求 (AT): 无 (N)
• 所需权限 (PR): 无 (N)
• 用户交互 (UI): 无 (N)
• 脆弱系统影响:
  • 机密性 (VC): 高 (H)
  • 完整性 (VI): 高 (H)
  • 可用性 (VA): 高 (H)

弱点分类:

• CWE-94: 代码生成的不当控制（“代码注入”）
  • 描述：该产品使用来自上游组件的外部影响输入来构建全部或部分代码段，但它没有或错误地中和了可能修改预期代码段语法或行为的特殊元素。

相关参考信息

• NVD漏洞详情: https://nvd.nist.gov/vuln/detail/CVE-2025-12735
• GitHub议题: silentmatt/expr-eval#288, #289
• 相关代码库:
  • https://github.com/jorenbroekema/expr-eval
  • https://github.com/silentmatt/expr-eval
• npm包页面:
  • https://www.npmjs.com/package/expr-eval
  • https://www.npmjs.com/package/expr-eval-fork
• 安全测试示例: https://github.com/jorenbroekema/expr-eval/blob/460b820ba01c5aca6c5d84a7d4f1fa5d1913c67b/test/security.js
• CERT漏洞通知: https://www.kb.cert.org/vuls/id/263614

时间线

• 由国家漏洞数据库发布: 2025年11月5日
• 发布至GitHub咨询数据库: 2025年11月5日
• 已审核: 2025年11月5日
• 最后更新: 2025年11月21日

其他指标

• EPSS评分: 0.055% (第17百分位数) - 此分数估计了该漏洞在未来30天内被利用的概率。

备注

此漏洞咨询已由GitHub审核。目前受影响版本尚无官方补丁。建议用户关注上游仓库的更新和安全通告。