en.javascript.info/1-js/7-js-misc/4-eval/1-eval-calculator/solution.md

Вычислить любое выражение нам поможет eval:

//+ demo run
var expr = prompt("Введите выражение?", '2*3+2');

alert(eval(expr));

При этом посетитель потенциально может делать все, что угодно.

Чтобы ограничить выражения только математикой, вводимую строку нужно проверять при помощи регулярных выражений на наличие любых символов, кроме букв, пробелов и знаков пунктуации.