CVE-2021-23337
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 98 - wyżej niż 98% wszystkich znanych CVE
Streszczenie
Lodash w wersjach przed 4.17.21 jest podatny na wstrzyknięcie poleceń (Command Injection) poprzez funkcję template.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia systemowe na serwerze, co może prowadzić do pełnego przejęcia systemu.
Rekomendacja
Zaktualizuj Lodash do wersji 4.17.21 lub nowszej.
Inne podatności w Lodash
Zobacz wszystkie- CVE-2020-28500Średnie
Lodash w wersjach wcześniejszych niż 4.17.21 jest podatny na Regular Expression Denial of Service (ReDoS) poprzez funkcje toNumber, trim i trimEnd.
- CVE-2026-4800Wysokie
Biblioteka Lodash w wersjach przed 4.18.0 nie waliduje poprawnie nazw kluczy w opcji options.imports w funkcji _.template. Atakujący może wstrzyknąć wyrażenia domyślnych parametrów, które wykonują dowolny kod podczas kompilacji szablonu. Dodatkowo, zanieczyszczenie prototypu może prowadzić do podobnego ataku.
- CVE-2026-2950Średnie
Lodash w wersjach 4.17.23 i wcześniejszych jest podatny na prototype pollution w funkcjach _.unset i _.omit. Poprawka dla CVE-2025-13465 chroniła tylko przed atakami z użyciem kluczy string, ale atakujący może ominąć zabezpieczenie, używając ścieżek w postaci tablicy. Pozwala to na usunięcie właściwości z wbudowanych prototypów, takich jak Object.prototype.
- CVE-2025-13465Średnie
Podatność w bibliotece Lodash w wersjach od 4.0.0 do 4.17.22 umożliwia zanieczyszczenie prototypu przez funkcje _.unset i _.omit. Atakujący może przekazać spreparowane ścieżki, które powodują usunięcie metod z globalnych prototypów.
Oryginalny opis (angielski, źródło NVD)
Lodash versions prior to 4.17.21 are vulnerable to Command Injection via the template function.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS