expr-eval vulnerable to Prototype Pollution

NGHIÊM TRỌNG 9.8CVE-2025-13204 · GHSA-8gw3-rxh4-v6jx · Công bố 14/11/2025 · cập nhật 30/10/2026

Tóm tắt nhanh

CVE-2025-13204 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng expr-eval, expr-eval-fork.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.85%, cao hơn 58.2% các lỗ hổng khác.
Cách xử lý: cập nhật lên 2.0.2 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
expr-eval npm	`≤ 2.0.2`	Chưa có bản vá
expr-eval-fork npm	`< 2.0.2`	`2.0.2`

Mô tả

npm package expr-eval is vulnerable to Prototype Pollution. An attacker with access to express eval interface can use JavaScript prototype-based inheritance model to achieve arbitrary code execution. The npm expr-eval-fork package resolves this issue.

Mô tả của NVD

npm package `expr-eval` is vulnerable to Prototype Pollution. An attacker with access to express eval interface can use JavaScript prototype-based inheritance model to achieve arbitrary code execution. The npm expr-eval-fork package resolves this issue.