Перейти к содержимому
Noroxi
CVE-2026-2950· NVD / CVE Program· CNA openjs

lodash vulnerable to Prototype Pollution via array path bypass in `_.unset` and `_.omit`

Impact: Lodash versions 4.17.23 and earlier are vulnerable to prototype pollution in the _.unset and _.omit functions. The fix for (CVE-2025-13465: https://github.com/lodash/lodash/security/advisories/GHSA-xxjr-mmjv-4gpg) only guards against string key members, so an attacker can bypass the check by passing array-wrapped path segments. This allows deletion of properties from built-in prototypes such as Object.prototype, Number.prototype, and String.prototype. The issue permits deletion of prototype properties but does not allow overwriting their original behavior. Patches: This issue is patched in 4.18.0. Workarounds: None. Upgrade to the patched version.

СредняяCVSS 5.3 · v3.1—Эксплойта нет Есть исправление
Опубликовано
31 мар. 2026 г.
Обновлено
24 июл. 2026 г.
EPSS
0,4 % · 30-й процентиль
Следить за этой CVE

Войдите, чтобы следить · Вы получите уведомление, если запись попадёт в KEV, получит эксплойт или обновится.

Инструменты для отчёта

JSON

Оценка срочности

21

Наблюдать

Пока низкий приоритет.

CVSS
21 / 40 · 5.3 / 10
CISA KEV
0 / 30 · Нет в списке
EPSS
0 / 30 · 0,4 %

Решение CISA SSVC

Эксплуатация
нет
Автоматизируемо
да
Техническое влияние
частичное

Vulnrichment: входные данные дерева решений CISA.

Оценка CNA и NVD

NVD
5,3
CNA · openjs
6,5
разница 1,2 балла

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L

Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.

Анализ Noroxi

Анализа Noroxi для этой записи пока нет

Мы не пишем анализ вручную для сотен тысяч уязвимостей в базе; это было бы нечестно. Для значимых уязвимостей с реальным влиянием наша команда описывает механизм, обнаружение и устранение.

Мы используем этот продукт, нужна помощь

Затронутые системы

ВендорПродукт
lodashlodash
lodashlodash-amd
lodashlodash-es
lodashlodash.unset

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

  • lodash lodash4.0.0 и новее · до 4.17.23
  • lodash lodash-amd4.0.0 и новее · до 4.17.23
  • lodash lodash-es4.0.0 и новее · до 4.17.23
  • lodash lodash.unset4.0.0 и новее

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (openjs). Не зависят от анализа CPE в NVD и обычно опережают его.

  • lodash lodash

    • 4.18.0не затронута
    • 4.17.23 и новее · до 4.18.0затронута · semver

  • lodash lodash-amd

    • 4.18.0не затронута
    • 4.17.23 и новее · до 4.18.0затронута · semver

  • lodash lodash-es

    • 4.18.0не затронута
    • 4.17.23 и новее · до 4.18.0затронута · semver

  • lodash lodash.unset

    • 4.18.0не затронута
    • 4.0.0 и новее · до 4.18.0затронута · semver

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

ЭкосистемаПакетЗатронутый диапазонИсправление
Debian:12node-lodashдо 4.17.21+dfsg+~cs8.31.198.20210220-9+deb12u14.17.21+dfsg+~cs8.31.198.20210220-9+deb12u1
Debian:13node-lodashдо 4.17.21+dfsg+~cs8.31.198.20210220-9+deb13u14.17.21+dfsg+~cs8.31.198.20210220-9+deb13u1
Debian:14node-lodashдо 4.18.1+dfsg-14.18.1+dfsg-1
npmlodashс 4.0.0 · до 4.17.234.17.23
npmlodashдо 4.18.04.18.0
npmlodash-amdс 4.0.0 · до 4.17.234.17.23
npmlodash-amdдо 4.18.04.18.0
npmlodash-esс 4.0.0 · до 4.17.234.17.23
npmlodash-esдо 4.18.04.18.0
npmlodash.unsetс 4.0.0 · до 4.5.2 включительно—
npmlodash.unsetс 4.0.0 · до 4.18.04.18.0
Red Hat:hummingbird:1nodejs20до 0:20.20.2-1.hum10:20.20.2-1.hum1
Red Hat:hummingbird:1nodejs20-binдо 0:20.20.2-1.hum10:20.20.2-1.hum1
Red Hat:hummingbird:1nodejs20-develдо 0:20.20.2-1.hum10:20.20.2-1.hum1
Red Hat:hummingbird:1nodejs20-docsдо 0:20.20.2-1.hum10:20.20.2-1.hum1
Red Hat:hummingbird:1nodejs20-full-i18nдо 0:20.20.2-1.hum10:20.20.2-1.hum1
Red Hat:hummingbird:1nodejs20-libsдо 0:20.20.2-1.hum10:20.20.2-1.hum1
Red Hat:hummingbird:1nodejs20-npmдо 0:10.8.2-1.20.20.2.1.hum10:10.8.2-1.20.20.2.1.hum1
Red Hat:hummingbird:1nodejs20-npm-binдо 0:20.20.2-1.hum10:20.20.2-1.hum1
Red Hat:hummingbird:1nodejs25до 0:25.9.0-1.1.hum10:25.9.0-1.1.hum1
Red Hat:hummingbird:1nodejs25-binдо 0:25.9.0-1.1.hum10:25.9.0-1.1.hum1
Red Hat:hummingbird:1nodejs25-develдо 0:25.9.0-1.1.hum10:25.9.0-1.1.hum1
Red Hat:hummingbird:1nodejs25-docsдо 0:25.9.0-1.1.hum10:25.9.0-1.1.hum1
Red Hat:hummingbird:1nodejs25-full-i18nдо 0:25.9.0-1.1.hum10:25.9.0-1.1.hum1

+4

Тот же продукт

lodash: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

  • CVE-2026-4800lodash vulnerable to Code Injection via `_.template` imports key names
    40В плане
  • CVE-2019-10744Versions of lodash lower than 4.17.12 are vulnerable to Prototype Pollution.
    38Наблюдать
  • CVE-2021-23337Lodash versions prior to 4.17.21 are vulnerable to Command Injection via the template function.
    34Наблюдать
  • CVE-2020-8203Prototype pollution attack when using _.zipObjectDeep in lodash before 4.17.20.
    31Наблюдать
  • CVE-2025-13465Prototype Pollution Vulnerability in Lodash _.unset and _.omit functions
    28Наблюдать
  • CVE-2019-1010266lodash prior to 4.17.11 is affected by: CWE-400: Uncontrolled Resource Consumption.
    27Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакетИсправленная версияИсточник
lodash lodash4.18.0Вендор (CNA)
lodash lodash-amd4.18.0Вендор (CNA)
lodash lodash-es4.18.0Вендор (CNA)
lodash lodash.unset4.18.0Вендор (CNA)
debian:node-lodash4.17.21+dfsg+~cs8.31.198.20210220-9+deb12u1 · Debian:12Реестр пакетов (OSV)
debian:node-lodash4.17.21+dfsg+~cs8.31.198.20210220-9+deb13u1 · Debian:13Реестр пакетов (OSV)
npm:lodash4.17.23Реестр пакетов (OSV)
npm:lodash4.18.0Реестр пакетов (OSV)
npm:lodash-amd4.17.23Реестр пакетов (OSV)
npm:lodash-amd4.18.0Реестр пакетов (OSV)
npm:lodash-es4.17.23Реестр пакетов (OSV)
npm:lodash-es4.18.0Реестр пакетов (OSV)
npm:lodash.unset4.18.0Реестр пакетов (OSV)
red hat:nodejs200:20.20.2-1.hum1 · Red Hat:hummingbird:1Реестр пакетов (OSV)
red hat:nodejs20-bin0:20.20.2-1.hum1 · Red Hat:hummingbird:1Реестр пакетов (OSV)
red hat:nodejs20-devel0:20.20.2-1.hum1 · Red Hat:hummingbird:1Реестр пакетов (OSV)
red hat:nodejs250:25.9.0-1.1.hum1 · Red Hat:hummingbird:1Реестр пакетов (OSV)
red hat:nodejs25-bin0:25.9.0-1.1.hum1 · Red Hat:hummingbird:1Реестр пакетов (OSV)
red hat:nodejs25-devel0:25.9.0-1.1.hum1 · Red Hat:hummingbird:1Реестр пакетов (OSV)
red hat:nodejs25-docs0:25.9.0-1.1.hum1 · Red Hat:hummingbird:1Реестр пакетов (OSV)
red hat:nodejs25-full-i18n0:25.9.0-1.1.hum1 · Red Hat:hummingbird:1Реестр пакетов (OSV)
red hat:nodejs25-libs0:25.9.0-1.1.hum1 · Red Hat:hummingbird:1Реестр пакетов (OSV)
red hat:nodejs25-npm0:11.12.1-1.25.9.0.1.1.hum1 · Red Hat:hummingbird:1Реестр пакетов (OSV)
red hat:nodejs25-npm-bin0:25.9.0-1.1.hum1 · Red Hat:hummingbird:1Реестр пакетов (OSV)
red hat:yarnpkg0:1.22.22-18.1.hum1 · Red Hat:hummingbird:1Реестр пакетов (OSV)

Статус эксплойта

Публичный эксплойт неизвестен

Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Кроме публикации датированных событий нет.

EPSS за 120 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

Среди источников нет ссылок на коммит или PR.

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

  • CVE-2025-13465с разницей 69 дн.Prototype Pollution Vulnerability in Lodash _.unset and _.omit functions
    28Наблюдать

Кандидаты в цепочки

Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.

—

Охват bug bounty

Известной публичной программы нет.

Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).

Технические детали

Условия атаки

  • Может быть вызвана любым, у кого есть доступ через интернет.
  • Учётная запись или пароль не требуются.
  • Действия пользователя не требуются.
  • Особые условия не требуются; воспроизводится стабильно.

В случае успеха

Конфиденциальность
нет
Целостность
низкое · данные или конфигурация могут быть изменены
Доступность
нет
Вектор атаки
Сеть
Сложность атаки
Низкая
Требуемые привилегии
Не требуются
Взаимодействие с пользователем
Не требуется
Область действия
Не изменяется
Влияние на конфиденциальность
Нет
Влияние на целостность
Низкое
Влияние на доступность
Нет

Класс уязвимости (CWE)

CWE-1321 · Improperly Controlled Modification of Object Prototype Attributes ('Prototype Pollution')

Вектор CVSS

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

nvd-primary

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

Журнал изменений

  1. Исправление✗ → ✓

Для отслеживаемых записей эти изменения приходят и как уведомления. →

Источники

Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.

Все записи