expr-eval vulnerable to Prototype Pollution

緊急 9.8CVE-2025-13204 · GHSA-8gw3-rxh4-v6jx · 14/11/2025 公開 · 30/10/2026 更新

要点

CVE-2025-13204 は expr-eval, expr-eval-fork に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.85%（全脆弱性の 58.2% より高い）。
対処：2.0.2 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
expr-eval npm	`≤ 2.0.2`	修正版なし
expr-eval-fork npm	`< 2.0.2`	`2.0.2`

概要

npm package expr-eval is vulnerable to Prototype Pollution. An attacker with access to express eval interface can use JavaScript prototype-based inheritance model to achieve arbitrary code execution. The npm expr-eval-fork package resolves this issue.

NVD の説明

npm package `expr-eval` is vulnerable to Prototype Pollution. An attacker with access to express eval interface can use JavaScript prototype-based inheritance model to achieve arbitrary code execution. The npm expr-eval-fork package resolves this issue.