热门NPM库存在严重漏洞，可导致AI与NLP应用遭受远程代码执行攻击
原文中文，约1000字，阅读约需3分钟。
📝
内容提要
广泛使用的npm包expr-eval发现严重安全漏洞（CVE-2025-12735），可能导致远程代码执行。攻击者可通过恶意输入执行系统命令，影响AI和NLP应用。开发者应立即升级至expr-eval-fork 3.0.0版本以修复该漏洞。
🔎
延伸解读
漏洞影响范围
expr-eval库的漏洞不仅影响单一应用，还可能波及多个依赖于该库的项目，尤其是流行的LangChain框架。开发者需关注其项目中是否使用了该库，以防止潜在的安全风险。
升级的重要性
开发者应尽快升级至expr-eval-fork 3.0.0版本，以确保应用的安全性。新版本引入的安全函数白名单和强制注册机制能有效防止恶意代码的注入，保护系统免受攻击。
自动检测工具的使用
企业可以利用GitHub的npm audit工具自动检测项目中的此漏洞。这种自动化检测手段能帮助开发者及时发现并修复安全隐患，降低潜在的安全风险。
❓
Q&A
expr-eval库的安全漏洞是什么？
expr-eval库中发现的安全漏洞（CVE-2025-12735）可能导致远程代码执行，攻击者可通过恶意输入执行任意系统命令。
这个漏洞对AI和NLP应用有什么影响？
该漏洞对AI和NLP生态系统具有重大影响，尤其是流行的LangChain框架，可能导致敏感信息泄露和系统控制。
开发者应该如何修复这个漏洞？
开发者应立即升级至expr-eval-fork 3.0.0版本，该版本包含全面的安全补丁和增强的安全机制。
expr-eval库的主要功能是什么？
expr-eval库是一个JavaScript工具，旨在安全地解析和评估数学表达式，作为eval()函数的安全替代方案。
如何检测项目中是否存在这个漏洞？
企业可通过GitHub安全公告使用npm audit自动检测项目中的此漏洞。
这个漏洞是如何被发现的？
该漏洞由卡内基梅隆大学的研究人员Jangwoo Choe负责任地披露，并通过GitHub Pull Request #288完成修复。
🏷️
