PT-2026-37126 · Npm · Math-Codegen

Hits313 + 1 · Publicado 2026-04-17 · Atualizado 2026-05-12 · CVE-2026-41507

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas math-codegen versões anteriores a 0.4.3

Descrição O conteúdo de literais de string passado para a função cg.parse() é injetado literalmente em um corpo new Function() sem sanitização. Isso permite que um invasor execute comandos arbitrários no sistema quando a entrada controlada pelo usuário atinge o analisador. Aplicativos que expõem um endpoint de avaliação matemática onde a entrada do usuário flui para cg.parse() estão suscetíveis à execução remota de código (RCE), que é a capacidade de executar código malicioso em uma máquina remota.

Recomendações Atualize para a versão 0.4.3 ou posterior. Evite passar entradas de usuário não sanitizadas para o analisador ou escape manualmente os literais de string na entrada.

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2026-41507

GHSA-P6X5-P4XF-CC4R

Produtos afetados

Math-Codegen

Referências · 11

• https://github.com/mauriciopoppe/math-codegen/security/advisories/GHSA-p6x5-p4xf-cc4r · Aviso do Fabricante
• https://github.com/mauriciopoppe/math-codegen/commit/4bb52d3030683362b3559ee8dd91350555a05f6b · Correção
• https://github.com/mauriciopoppe/math-codegen · Nota
• https://github.com/mauriciopoppe/math-codegen/pull/11 · Nota
• https://osv.dev/vulnerability/GHSA-p6x5-p4xf-cc4r · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2052811023132787197 · Publicação no Twitter
• https://github.com/hits3134 · Nota
• https://twitter.com/lyrie_ai/status/2054322458086293594 · Publicação no Twitter
• https://twitter.com/lyrie_ai/status/2054322457163522328 · Publicação no Twitter
• https://twitter.com/lyrie_ai/status/2054322460082712653 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-41507 · Nota de Segurança