p PatchFirst

CVE-2026-4800

CVE-2026-4800 · lodash vulnerable to Code Injection via `_.template` imports key names

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

На странице показана часть фактов из источников. Полное описание и список затронутых версий приведены в связанных бюллетенях.

The fix for CVE-2021-23337 added validation for the variable option in _.template but did not apply the same validation to options.imports key names, and both paths flow into the same Function() constructor sink. When an application passes untrusted input as options.imports key names, an attacker can inject default-parameter expressions that execute arbitrary code at template compilation time. Additionally, _.template uses assignInWith to merge imports, which enumerates inherited properties via for..in, so if Object.prototype has been polluted by another vector the polluted keys are copied into the imports object and passed to Function(). The issue is fixed in 4.18.1 for lodash, lodash-es, lodash-amd, and lodash.template. As a workaround, do not pass untrusted input as key names in options.imports; use only developer-controlled, static key names.

CVSS 8.1 · Высокий · EPSS 2,8% · Есть исправление

Опубликовано
Обновлено

Стек: system · node

Затронутые продукты и версии

  • lodash

    Версии
    • ≥ 4.0.0, < 4.18.1: Затронуто (semver)
    • 4.18.1: Не затронуто (semver)

    Обновитесь до 4.18.1

  • lodash-es

    Версии
    • ≥ 4.0.0, < 4.18.1: Затронуто (semver)
    • 4.18.1: Не затронуто (semver)

    Обновитесь до 4.18.1

  • lodash-amd

    Версии
    • ≥ 4.0.0, < 4.18.1: Затронуто (semver)
    • 4.18.1: Не затронуто (semver)

    Обновитесь до 4.18.1

  • lodash.template

    Версии
    • ≥ 4.0.0, < 4.18.1: Затронуто (semver)
    • 4.18.1: Не затронуто (semver)

    Обновитесь до 4.18.1

  • node-lodash Debian:12

    Версии
    • 4.17.21+dfsg+~cs8.31.198.20210220-9
    Затронутые диапазоны версий
    • ECOSYSTEM: < 4.17.21+dfsg+~cs8.31.198.20210220-9+deb12u1

    Обновитесь до 4.17.21+dfsg+~cs8.31.198.20210220-9+deb12u1

  • node-lodash Debian:13

    Версии
    • 4.17.21+dfsg+~cs8.31.198.20210220-9
    Затронутые диапазоны версий
    • ECOSYSTEM: < 4.17.21+dfsg+~cs8.31.198.20210220-9+deb13u1

    Обновитесь до 4.17.21+dfsg+~cs8.31.198.20210220-9+deb13u1

  • node-lodash Debian:14

    Версии
    • 4.17.21+dfsg+~cs8.31.198.20210220-10
    • 4.17.21+dfsg+~cs8.31.198.20210220-9
    • 4.17.23+dfsg-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 4.18.1+dfsg-1

    Обновитесь до 4.18.1+dfsg-1

  • lodash npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 4.0.0, < 4.18.0

    Обновитесь до 4.18.0

  • lodash-es npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 4.0.0, < 4.18.0

    Обновитесь до 4.18.0

  • lodash-amd npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 4.0.0, < 4.18.0

    Обновитесь до 4.18.0

  • lodash.template npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 4.0.0, < 4.18.0

    Обновитесь до 4.18.0

  • node-lodash Ubuntu:Pro:16.04:LTS

    Версии
    • 2.4.1+dfsg-3
    Затронутые диапазоны версий
    • ECOSYSTEM: < 2.4.1+dfsg-3ubuntu0.1~esm1

    Обновитесь до 2.4.1+dfsg-3ubuntu0.1~esm1

  • node-lodash Ubuntu:Pro:18.04:LTS

    Версии
    • 4.17.4+dfsg-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 4.17.4+dfsg-1ubuntu0.1~esm1

    Обновитесь до 4.17.4+dfsg-1ubuntu0.1~esm1

  • node-lodash Ubuntu:Pro:20.04:LTS

    Версии
    • 4.17.11+dfsg-4
    • 4.17.15+dfsg-2
    Затронутые диапазоны версий
    • ECOSYSTEM: < 4.17.15+dfsg-2ubuntu0.1~esm1

    Обновитесь до 4.17.15+dfsg-2ubuntu0.1~esm1

  • node-lodash Ubuntu:Pro:22.04:LTS

    Версии
    • 4.17.21+dfsg+~cs8.31.173-1
    • 4.17.21+dfsg+~cs8.31.196.20210220-2
    • 4.17.21+dfsg+~cs8.31.198.20210220-4
    • 4.17.21+dfsg+~cs8.31.198.20210220-5
    Затронутые диапазоны версий
    • ECOSYSTEM: < 4.17.21+dfsg+~cs8.31.198.20210220-5ubuntu0.1~esm1

    Обновитесь до 4.17.21+dfsg+~cs8.31.198.20210220-5ubuntu0.1~esm1

  • node-lodash Ubuntu:Pro:24.04:LTS

    Версии
    • 4.17.21+dfsg+~cs8.31.198.20210220-9
    Затронутые диапазоны версий
    • ECOSYSTEM: < 4.17.21+dfsg+~cs8.31.198.20210220-9ubuntu0.24.04.1~esm1

    Обновитесь до 4.17.21+dfsg+~cs8.31.198.20210220-9ubuntu0.24.04.1~esm1

  • node-lodash Ubuntu:25.10

    Версии
    • 4.17.21+dfsg+~cs8.31.198.20210220-9
    Затронутые диапазоны версий
    • ECOSYSTEM: < 4.17.21+dfsg+~cs8.31.198.20210220-9ubuntu0.25.10.1

    Обновитесь до 4.17.21+dfsg+~cs8.31.198.20210220-9ubuntu0.25.10.1

  • node-lodash Ubuntu:26.10

    Версии
    • 4.17.23+dfsg-1
    • 4.18.1+dfsg-3
    • 4.18.1+dfsg1-1
    • 4.18.1+dfsg1-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-lodash Ubuntu:Pro:26.04:LTS

    Версии
    • 4.17.21+dfsg+~cs8.31.198.20210220-9
    • 4.17.23+dfsg-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 4.17.23+dfsg-1ubuntu0.1~esm1

    Обновитесь до 4.17.23+dfsg-1ubuntu0.1~esm1

Первоисточники

Проверьте свой сервер →