npmパッケージ「expr-eval」にはプロトタイプ汚染の脆弱性が存在します。攻撃者がexpress evalインターフェースにアクセスできる場合、JavaScriptのプロトタイプベースの継承モデルを悪用して任意のコードを実行できる可能性があります。この問題は、npmパッケージ「expr-eval-fork」によって修正されています。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。