CVE-2026-4800
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 85 - wyżej niż 85% wszystkich znanych CVE
Streszczenie
Biblioteka Lodash w wersjach przed 4.18.0 nie waliduje poprawnie nazw kluczy w opcji options.imports w funkcji _.template. Atakujący może wstrzyknąć wyrażenia domyślnych parametrów, które wykonują dowolny kod podczas kompilacji szablonu. Dodatkowo, zanieczyszczenie prototypu może prowadzić do podobnego ataku.
Ocena ryzyka
Organizacja jest narażona na zdalne wykonanie kodu, jeśli aplikacja przekazuje niezaufane dane jako nazwy kluczy w options.imports. Może to prowadzić do przejęcia kontroli nad serwerem lub wycieku danych.
Rekomendacja
Należy zaktualizować Lodash do wersji 4.18.0 lub nowszej. Jako tymczasowe rozwiązanie, nie przekazuj niezaufanych danych jako nazw kluczy w options.imports – używaj tylko statycznych, kontrolowanych przez programistę nazw.
Inne podatności w Lodash
Zobacz wszystkie- CVE-2026-2950Średnie
Lodash w wersjach 4.17.23 i wcześniejszych jest podatny na prototype pollution w funkcjach _.unset i _.omit. Poprawka dla CVE-2025-13465 chroniła tylko przed atakami z użyciem kluczy string, ale atakujący może ominąć zabezpieczenie, używając ścieżek w postaci tablicy. Pozwala to na usunięcie właściwości z wbudowanych prototypów, takich jak Object.prototype.
- CVE-2025-13465Średnie
Podatność w bibliotece Lodash w wersjach od 4.0.0 do 4.17.22 umożliwia zanieczyszczenie prototypu przez funkcje _.unset i _.omit. Atakujący może przekazać spreparowane ścieżki, które powodują usunięcie metod z globalnych prototypów.
Oryginalny opis (angielski, źródło NVD)
Impact: The fix for CVE-2021-23337 (https://github.com/advisories/GHSA-35jh-r3h4-6jhm) added validation for the variable option in _.template but did not apply the same validation to options.imports key names. Both paths flow into the same Function() constructor sink. When an application passes untrusted input as options.imports key names, an attacker can inject default-parameter expressions that execute arbitrary code at template compilation time. Additionally, _.template uses assignInWith to merge imports, which enumerates inherited properties via for..in. If Object.prototype has been polluted by any other vector, the polluted keys are copied into the imports object and passed to Function(). Patches: Users should upgrade to version 4.18.0. Workarounds: Do not pass untrusted input as key names in options.imports. Only use developer-controlled, static key names.