CVE-2025-13465
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 75 - wyżej niż 75% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece Lodash w wersjach od 4.0.0 do 4.17.22 umożliwia zanieczyszczenie prototypu przez funkcje _.unset i _.omit. Atakujący może przekazać spreparowane ścieżki, które powodują usunięcie metod z globalnych prototypów.
Ocena ryzyka
Ryzyko polega na możliwości usunięcia kluczowych metod z prototypów obiektów, co może prowadzić do nieoczekiwanego działania aplikacji, błędów lub ataków typu Denial of Service.
Rekomendacja
Zaleca się natychmiastową aktualizację biblioteki Lodash do wersji 4.17.23 lub nowszej, która zawiera poprawkę usuwającą podatność.
Inne podatności w Lodash
Zobacz wszystkie- CVE-2026-4800Wysokie
Biblioteka Lodash w wersjach przed 4.18.0 nie waliduje poprawnie nazw kluczy w opcji options.imports w funkcji _.template. Atakujący może wstrzyknąć wyrażenia domyślnych parametrów, które wykonują dowolny kod podczas kompilacji szablonu. Dodatkowo, zanieczyszczenie prototypu może prowadzić do podobnego ataku.
- CVE-2026-2950Średnie
Lodash w wersjach 4.17.23 i wcześniejszych jest podatny na prototype pollution w funkcjach _.unset i _.omit. Poprawka dla CVE-2025-13465 chroniła tylko przed atakami z użyciem kluczy string, ale atakujący może ominąć zabezpieczenie, używając ścieżek w postaci tablicy. Pozwala to na usunięcie właściwości z wbudowanych prototypów, takich jak Object.prototype.
Oryginalny opis (angielski, źródło NVD)
Lodash versions 4.0.0 through 4.17.22 are vulnerable to prototype pollution in the _.unset and _.omit functions. An attacker can pass crafted paths which cause Lodash to delete methods from global prototypes. The issue permits deletion of properties but does not allow overwriting their original behavior. This issue is patched on 4.17.23
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS