CVE-2020-28500
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 94 - wyżej niż 94% wszystkich znanych CVE
Streszczenie
Lodash w wersjach wcześniejszych niż 4.17.21 jest podatny na Regular Expression Denial of Service (ReDoS) poprzez funkcje toNumber, trim i trimEnd.
Ocena ryzyka
Atak ReDoS może spowodować znaczne spowolnienie lub całkowite zawieszenie aplikacji, co prowadzi do niedostępności usług.
Rekomendacja
Zaleca się aktualizację Lodash do wersji 4.17.21 lub nowszej oraz unikanie przetwarzania niezaufanych danych wejściowych przez te funkcje.
Inne podatności w Lodash
Zobacz wszystkie- CVE-2021-23337Wysokie
Lodash w wersjach przed 4.17.21 jest podatny na wstrzyknięcie poleceń (Command Injection) poprzez funkcję template.
- CVE-2026-4800Wysokie
Biblioteka Lodash w wersjach przed 4.18.0 nie waliduje poprawnie nazw kluczy w opcji options.imports w funkcji _.template. Atakujący może wstrzyknąć wyrażenia domyślnych parametrów, które wykonują dowolny kod podczas kompilacji szablonu. Dodatkowo, zanieczyszczenie prototypu może prowadzić do podobnego ataku.
- CVE-2026-2950Średnie
Lodash w wersjach 4.17.23 i wcześniejszych jest podatny na prototype pollution w funkcjach _.unset i _.omit. Poprawka dla CVE-2025-13465 chroniła tylko przed atakami z użyciem kluczy string, ale atakujący może ominąć zabezpieczenie, używając ścieżek w postaci tablicy. Pozwala to na usunięcie właściwości z wbudowanych prototypów, takich jak Object.prototype.
- CVE-2025-13465Średnie
Podatność w bibliotece Lodash w wersjach od 4.0.0 do 4.17.22 umożliwia zanieczyszczenie prototypu przez funkcje _.unset i _.omit. Atakujący może przekazać spreparowane ścieżki, które powodują usunięcie metod z globalnych prototypów.
Oryginalny opis (angielski, źródło NVD)
Lodash versions prior to 4.17.21 are vulnerable to Regular Expression Denial of Service (ReDoS) via the toNumber, trim and trimEnd functions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS