Um preciosismo bobo: é bom testar os extremos de sua expressão regular. Do jeito que ela está, vai dar como válida a seguinte string:

"qualquer coisa 123.456.789-00 qualquer coisa"

E também:

"qualquer coisa 999123.456.789-00999 qualquer coisa"

Se você quiser que a primeira string valide e a segunda não (ou seja, testar se a string contém um CPF, não se é um CPF) pode usar:

/\b([0-9]{3}\.?){3}-[0-9]{2}\b/

Já se quiser que nenhuma valide (ou seja, testar se a string inteira é um CPF) pode usar:

/^([0-9]{3}\.?){3}-[0-9]{2}$/