CVE-2026-40897

mathjs

TLP:CLEAR

csirt@kutim:~/threat-intel/cve/CVE-2026-40897

Katalog CVE

CVSS 8.8 · High EPSS 0,76%

Kerentanan Improperly Controlled Modification of Dynamically-Determined Object Attributes pada mathjs. Skor CVSS 3.1 8.8 (High) menurut github.com.

Deskripsi (NVD)

Math.js is an extensive math library for JavaScript and Node.js. From 13.1.1 to before 15.2.0, a vulnerability allowed executing arbitrary JavaScript via the expression parser of mathjs. You can be affected when you have an application where users can evaluate arbitrary expressions using the mathjs expression parser. This vulnerability is fixed in 15.2.0.

Rincian

Terbit di NVD
24 April 2026
Terakhir diubah
15 Juli 2026
Status NVD
Modified
CVSS 3.1
8.8 (High), sumber github.com
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H · uraikan di kalkulator
Jenis kelemahan (CWE)
CWE-915: Improperly Controlled Modification of Dynamically-Determined Object Attributes
CWE-917: Improper Neutralization of Special Elements used in an Expression Language Statement ('Expression Language Injection')
EPSS (30 hari)
0,76% peluang dieksploitasi; lebih tinggi dari 54,1% CVE lain

Produk dan versi terdampak

VendorProdukVersi terdampak
mathjs mathjs Versi 13.1.1 hingga sebelum 15.2.0

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:11 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.