CVE-2026-41507: Execução remota de código via injeção em literal de string no math-codegen
As versões do math-codegen anteriores à 0.4.3 injetam o conteúdo de literais de string passado para cg.parse() no código gerado, sem sanitização, o que o registro classifica como injeção de código (CWE-94). O registro classifica o problema como crítico, com pontuação base CVSS 3.1 de 9.8, e indica correção na versão 0.4.3. Não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-41507 afeta o math-codegen, uma biblioteca que gera código a partir de expressões matemáticas. Segundo o registro, o conteúdo de literais de string passado para cg.parse() é inserido sem sanitização em código construído posteriormente com new Function(), o que é classificado como CWE-94 (injeção de código).
Impacto
O registro indica que um atacante poderia executar comandos arbitrários no sistema quando entrada controlada pelo usuário chega ao analisador. Aplicações que expõem um endpoint de avaliação matemática em que a entrada do usuário flui para cg.parse() são descritas como vulneráveis a execução remota de código completa. O vetor CVSS 3.1 é AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, com pontuação base de 9.8, informada pelo GitHub como CNA no registro.
Produtos e versões afetadas
- Mauriciopoppe Math-codegen anteriores à 0.4.3
O registro lista o intervalo afetado como versões abaixo de 0.4.3, sendo a versão corrigida a 0.4.3.
Status de exploração
Esta CVE não consta no catálogo KEV da CISA no registro. Não há exploração confirmada nas fontes consultadas. O campo de exploração do SSVC está registrado como none e o campo automatizável como yes, e a probabilidade EPSS é 0.00672, com percentil de 0.51507.
Correção e mitigação
- Atualize o math-codegen para a versão 0.4.3, identificada no registro como a versão corrigida.
- Revise o commit de correção e o aviso do fornecedor listados nas referências.
- Enquanto a atualização não for concluída, não envie entrada não confiável ao analisador e restrinja os endpoints de avaliação matemática a usuários autenticados e confiáveis, quando possível.
- Valide a entrada contra uma gramática estrita de expressões antes que chegue à biblioteca e execute o serviço com privilégios mínimos.
Orientações de detecção
- Faça o inventário de aplicações e dependências que usam o math-codegen e registre as versões instaladas.
- Revise os logs dos endpoints de avaliação matemática em busca de padrões de entrada incomuns ou inesperados, sem expor dados sensíveis.
- Monitore processos filhos inesperados ou atividade de saída incomum em serviços que avaliam expressões.
Limitações das informações disponíveis
O registro não descreve o formato exato de entrada necessário para disparar o problema, o número de implantações afetadas nem testes independentes. A lista de versões afetadas contém duas entradas equivalentes. Os valores de EPSS e SSVC são informados conforme registrados e podem mudar com o tempo.
Perguntas frequentes
Existe correção para a CVE-2026-41507?
O registro indica que o problema foi corrigido na versão 0.4.3 do math-codegen. A atualização para essa versão ou posterior é a correção recomendada.
Esta vulnerabilidade está sendo explorada ativamente?
Esta CVE não consta no catálogo KEV da CISA no registro, e não há exploração confirmada nas fontes consultadas.
Quais aplicações estão em risco?
Aplicações que usam o math-codegen anterior à 0.4.3 em que a entrada controlada pelo usuário chega a cg.parse() são descritas como vulneráveis. Limitar a entrada não confiável ao analisador reduz a exposição.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.