p PatchFirst

CVE-2026-2950

CVE-2026-2950 · lodash vulnerable to Prototype Pollution via array path bypass in `_.unset` and `_.omit`

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

The _.unset and _.omit functions in Lodash are vulnerable to prototype pollution. The fix for CVE-2025-13465 only guards against string key members, so an attacker can bypass the check by passing array-wrapped path segments. This allows deletion of properties from built-in prototypes such as Object.prototype, Number.prototype, and String.prototype. The issue permits deletion of prototype properties but does not allow overwriting their original behavior. The issue is patched from 4.18.0 to 4.18.1 depending on the package: lodash, lodash-es, and lodash-amd in 4.18.1, and the standalone lodash.unset and lodash.omit packages in 4.18.0.

CVSS 6.5 · Средний · EPSS 0,3% · Есть исправление

Опубликовано
Обновлено

Стек: system · node

Затронутые продукты и версии

  • lodash

    Версии
    • ≥ 4.17.23, < 4.18.1: Затронуто (semver)
    • 4.18.1: Не затронуто (semver)

    Обновитесь до 4.18.1

  • lodash-es

    Версии
    • ≥ 4.17.23, < 4.18.1: Затронуто (semver)
    • 4.18.1: Не затронуто (semver)

    Обновитесь до 4.18.1

  • lodash-amd

    Версии
    • ≥ 4.17.23, < 4.18.1: Затронуто (semver)
    • 4.18.1: Не затронуто (semver)

    Обновитесь до 4.18.1

  • lodash.unset

    Версии
    • ≥ 0, < 4.18.0: Затронуто (semver)
    • 4.18.0: Не затронуто (semver)

    Обновитесь до 4.18.0

  • lodash.omit

    Версии
    • ≥ 0, < 4.18.0: Затронуто (semver)
    • 4.18.0: Не затронуто (semver)

    Обновитесь до 4.18.0

  • node-lodash Debian:12

    Версии
    • 4.17.21+dfsg+~cs8.31.198.20210220-9
    Затронутые диапазоны версий
    • ECOSYSTEM: < 4.17.21+dfsg+~cs8.31.198.20210220-9+deb12u1

    Обновитесь до 4.17.21+dfsg+~cs8.31.198.20210220-9+deb12u1

  • node-lodash Debian:13

    Версии
    • 4.17.21+dfsg+~cs8.31.198.20210220-9
    Затронутые диапазоны версий
    • ECOSYSTEM: < 4.17.21+dfsg+~cs8.31.198.20210220-9+deb13u1

    Обновитесь до 4.17.21+dfsg+~cs8.31.198.20210220-9+deb13u1

  • node-lodash Debian:14

    Версии
    • 4.17.21+dfsg+~cs8.31.198.20210220-10
    • 4.17.21+dfsg+~cs8.31.198.20210220-9
    • 4.17.23+dfsg-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 4.18.1+dfsg-1

    Обновитесь до 4.18.1+dfsg-1

  • lodash npm

    Версии
    • 4.17.23
    Затронутые диапазоны версий
    • SEMVER: ≥ 4.17.23, < 4.18.1

    Обновитесь до 4.18.1

  • lodash-es npm

    Версии
    • 4.17.23
    Затронутые диапазоны версий
    • SEMVER: ≥ 4.17.23, < 4.18.1

    Обновитесь до 4.18.1

  • lodash-amd npm

    Версии
    • 4.17.23
    Затронутые диапазоны версий
    • SEMVER: ≥ 4.17.23, < 4.18.1

    Обновитесь до 4.18.1

  • lodash.unset npm

    Затронутые диапазоны версий
    • SEMVER: < 4.18.0

    Обновитесь до 4.18.0

  • lodash.omit npm

    Затронутые диапазоны версий
    • SEMVER: < 4.18.0

    Обновитесь до 4.18.0

  • node-lodash Ubuntu:Pro:16.04:LTS

    Версии
    • 2.4.1+dfsg-3
    Затронутые диапазоны версий
    • ECOSYSTEM: < 2.4.1+dfsg-3ubuntu0.1~esm1

    Обновитесь до 2.4.1+dfsg-3ubuntu0.1~esm1

  • node-lodash Ubuntu:Pro:18.04:LTS

    Версии
    • 4.17.4+dfsg-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 4.17.4+dfsg-1ubuntu0.1~esm1

    Обновитесь до 4.17.4+dfsg-1ubuntu0.1~esm1

  • node-lodash Ubuntu:Pro:20.04:LTS

    Версии
    • 4.17.11+dfsg-4
    • 4.17.15+dfsg-2
    Затронутые диапазоны версий
    • ECOSYSTEM: < 4.17.15+dfsg-2ubuntu0.1~esm1

    Обновитесь до 4.17.15+dfsg-2ubuntu0.1~esm1

  • node-lodash Ubuntu:Pro:22.04:LTS

    Версии
    • 4.17.21+dfsg+~cs8.31.173-1
    • 4.17.21+dfsg+~cs8.31.196.20210220-2
    • 4.17.21+dfsg+~cs8.31.198.20210220-4
    • 4.17.21+dfsg+~cs8.31.198.20210220-5
    Затронутые диапазоны версий
    • ECOSYSTEM: < 4.17.21+dfsg+~cs8.31.198.20210220-5ubuntu0.1~esm1

    Обновитесь до 4.17.21+dfsg+~cs8.31.198.20210220-5ubuntu0.1~esm1

  • node-lodash Ubuntu:Pro:24.04:LTS

    Версии
    • 4.17.21+dfsg+~cs8.31.198.20210220-9
    Затронутые диапазоны версий
    • ECOSYSTEM: < 4.17.21+dfsg+~cs8.31.198.20210220-9ubuntu0.24.04.1~esm1

    Обновитесь до 4.17.21+dfsg+~cs8.31.198.20210220-9ubuntu0.24.04.1~esm1

  • node-lodash Ubuntu:25.10

    Версии
    • 4.17.21+dfsg+~cs8.31.198.20210220-9
    Затронутые диапазоны версий
    • ECOSYSTEM: < 4.17.21+dfsg+~cs8.31.198.20210220-9ubuntu0.25.10.1

    Обновитесь до 4.17.21+dfsg+~cs8.31.198.20210220-9ubuntu0.25.10.1

  • node-lodash Ubuntu:26.10

    Версии
    • 4.17.23+dfsg-1
    • 4.18.1+dfsg-3
    • 4.18.1+dfsg1-1
    • 4.18.1+dfsg1-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-lodash Ubuntu:Pro:26.04:LTS

    Версии
    • 4.17.21+dfsg+~cs8.31.198.20210220-9
    • 4.17.23+dfsg-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 4.17.23+dfsg-1ubuntu0.1~esm1

    Обновитесь до 4.17.23+dfsg-1ubuntu0.1~esm1

Первоисточники

Проверьте свой сервер →