自己報告されたバージョン番号によると、Lodash は 4.18.0 より前です。そのため、以下の複数の脆弱性の影響を受けます。

- _.template 関数でのコードインジェクションの脆弱性。変数 option への CVE-2021-23337 に対して追加された検証が、同じ Function() コンストラクターシンクに渡される options.imports キー名に適用されませんでした。これらのキー名をコントロールできる攻撃者は、テンプレートのコンパイル時に任意のコードを実行するデフォルトパラメーター式を注入する可能性があります。さらに、継承されたプロパティがインポートにマージされ、汚染された Object.prototype キーがシンクに到達できるようになりました。(CVE-2026-4800)

- _.unset 関数と _.omit 関数でのプロトタイプ汚染の脆弱性。保護された文字列パスセグメントのみ CVE-2025-13465 修正により、攻撃者はパスセグメントを配列でラッピングすることでこれをバイパスできます。これにより、Object.prototype、Number.prototype、String.prototype などの組み込みプロトタイプからプロパティが削除される可能性があります。この発行により、プロパティの削除は許可されますが、元の動作を上書きすることはできません。(CVE-2026-2950)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのDebian 11ホストには、dla-4663アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ----------------------------------------------------------------------- Debian LTSアドバイザリ DLA-4663-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Utkarsh Gupta氏 2026年7月2日 https://wiki.debian.org/LTS
    - -----------------------------------------------------------------------

    パッケージ:node-lodash バージョン: 4.17.21+dfsg+~cs8.31.173-1+deb11u1 CVE ID: CVE-2025-13465 CVE-2026-2950 CVE-2026-4800 Debian バグ:1126265

    一般的なプログラミングタスク用のユーティリティ機能を提供する Node.js モジュールである node-lodash で、いくつかの脆弱性が発見されました。

    CVE-2025-13465

        _.unset 関数と _.omit 関数のプロトタイプ汚染。細工されたプロパティパスが、組み込みプロトタイプ(Object.prototype など)からプロパティを削除するために使用され、可用性と整合性の問題を引き起こす可能性があります。

    CVE-2026-2950

        CVE-2025-13465 に対する不完全な修正。初期ガードは、文字列キーメンバーとリテラル constructor.prototype シーケンスのみを処理していたため、配列でラップされたパスセグメント([['constructor']、['keys']]など)、コンストラクターの静的メソッドを介して、またはプリミティブなルートからバイパスされることがあります。これにより、共有された組み込みプロトタイプのプロパティが再び削除される可能性があります。

    CVE-2026-4800

        _.template 関数のコードインジェクション。CVE-2021-23337の不完全な修正:変数オプションは検証されましたが、インポートオプションのキー名は検証されませんでした。インポートキー名として渡される信頼できない入力により、デフォルトのパラメーター式が注入され、テンプレートのコンパイル時に同じ Function() コンストラクターシンクを介して任意のコードが実行される可能性があります。

    Debian 11 bullseye では、この問題はバージョン 4.17.21+dfsg+~cs8.31.173-1+deb11u1 で修正されています。

    node-lodash パッケージをアップグレードすることを推奨します。

    node-lodash の詳細なセキュリティステータスについては、次のセキュリティトラッカーのページを参照してください:
    https://security-tracker.debian.org/tracker/node-lodash

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 影響:Lodash バージョン 4.17.23 以前は、_.unset および
    _.omit 関数。(CVE-2025-13465: https://github.com/lodash/lodash/security/advisories/GHSA-xxjr-mmjv-4gpg)の修正は、文字列のキーメンバーに対してのみ防御するため、攻撃者は配列でラップされたパスセグメントを渡すことでチェックをバイパスできます。これにより、Object.prototype、Number.prototype、String.prototype などの組み込みプロトタイプからプロパティを削除できます。この問題により、プロトタイプのプロパティの削除は許可されますが、元の動作を上書きすることはできません。パッチ:この問題は 4.18.0 でパッチ適用されています。回避策:なし。パッチを適用したバージョンにアップグレードしてください。(CVE-2026-2950)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされた IBM WebSphere eXtreme Scale のバージョンは、8.6.2.2 IBM より前です。したがって、7282872アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 4.17.21 より前のバージョンの Lodash は、テンプレート関数を介したコマンドインジェクションに対して脆弱です。
    (CVE-2021-23337)

  - 影響: CVE-2021-23337 (https://github.com/advisories/GHSA-35jh-r3h4-6jhm) の修正では、_.template の変数 option に対する検証が追加されましたが、options.imports のキー名には同じ検証が適用されていませんでした。
    両方のパスは同じ Function() コンストラクターシンクにフローします。アプリケーションが信頼できない入力を options.imports のキー名として渡す場合、攻撃者はテンプレートのコンパイル時に任意コードを実行するデフォルトパラメーター式を注入する可能性があります。さらに、_.template は assignInWith を使用して imports をマージし、for..in によって継承されたプロパティを列挙します。Object.prototype が他のベクトルによって汚染された場合、汚染されたキーは imports オブジェクトにコピーされ、Function() に渡されます。パッチ: ユーザーはバージョン 4.18.0 にアップグレードする必要があります。回避策: 信頼できない入力を options.imports のキー名として渡さないでください。開発者が制御する静的なキー名のみを使用してください。(CVE-2026-4800)

  - 影響:Lodash バージョン 4.17.23 以前は、_.unset および
    _.omit 関数。(CVE-2025-13465: https://github.com/lodash/lodash/security/advisories/GHSA-xxjr-mmjv-4gpg)の修正は、文字列のキーメンバーに対してのみ防御するため、攻撃者は配列でラップされたパスセグメントを渡すことでチェックをバイパスできます。これにより、Object.prototype、Number.prototype、String.prototype などの組み込みプロトタイプからプロパティを削除できます。この問題により、プロトタイプのプロパティの削除は許可されますが、元の動作を上書きすることはできません。パッチ:この問題は 4.18.0 でパッチ適用されています。回避策:なし。パッチを適用したバージョンにアップグレードしてください。(CVE-2026-2950)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている IBM Cognos Analytics のバージョンは、12.0.4 FP3 より前の 12.0.4、または 12.1.3 FP2 より前の 12.1.x です。したがって、IBMセキュリティ報告書No.に記載されている複数の脆弱性の影響を受けます。
7287209:

  - 3.9.2 以前の NLTK バージョンは、StanfordSegmenter モジュールの入力検証が不適切なために、任意のコードの実行に脆弱です。このモジュールは、検証やサンドボックスを行わずに、外部Java.jarファイルを動的にロードします。攻撃者は、JAR ファイルを供給または置換することで、インポート時に任意の Java バイトコードを実行できるようになります。(CVE-2026-0848)

  - CVE-2021-23337 に対する lodash の修正は、_.template の変数 option に対する検証を追加しましたが、options.imports キー名に同じ検証は適用しませんでした。両方のパスは同じ Function() コンストラクターシンクにフローします。アプリケーションが信頼できない入力を options.imports のキー名として渡す場合、攻撃者はテンプレートのコンパイル時に任意コードを実行するデフォルトパラメーター式を注入する可能性があります。
    (CVE-2026-4800)

  - cryptography は、Python 開発者向けに暗号のプリミティブとレシピを公開するために設計されたパッケージです。
    45.0.0から46.0.7以前まで、Pythonバッファ(Hash.update()など)を受け入れるAPIに非連続バッファが渡されると、これがバッファオーバーフローを引き起こす可能性があります。(CVE-2026-39892)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのUbuntu 16.04 LTS/ 18.04 LTS/ 20.04 LTS/ 22.04 LTS/ 24.04 LTS/ 25.10 / 26.04 LTSホストには、 USN-8411-1 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Lodash が zipObjectDeep 関数のプロトタイプ汚染問題に脆弱であることが判明しました。
    攻撃者がこの問題を悪用して、アプリケーションの動作を変更する可能性があります。この問題の影響を受けるのは、Ubuntu 18.04 LTS と Ubuntu 20.04 LTS のみです。(CVE-2020-8203)

    Liyuan Chen 氏は、Lodash が toNumber、trim、および trimEnd 関数の正規表現のサービス拒否問題に対して脆弱であることを発見しました。攻撃者がこの問題を悪用してシステムリソースを過剰に消費させ、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 18.04 LTS と Ubuntu 20.04 LTS のみです。(CVE-2020-28500)

    Marc Hassan 氏は、Lodash がテンプレート関数への入力を適切にサニタイズしていないことを発見しました。攻撃者がこの問題を悪用して、任意のコマンドを挿入して実行する可能性があります。この問題の影響を受けるのは、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS のみです。(CVE-2021-23337)

    Lodash が、unset 関数および omit 関数のプロトタイプ汚染問題に脆弱であることが判明しました。攻撃者がこの問題を利用して、グローバルプロトタイプからプロパティを削除し、セキュリティ制限をバイパスする可能性があります。この問題は、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS、および Ubuntu 25.10 にのみ影響を与えます。(CVE-2025-13465)

    Lodash が、unset 関数および omit 関数のプロトタイプ汚染問題に脆弱であることが判明しました。攻撃者がこの問題を利用して、組み込みのプロトタイプからプロパティを削除し、セキュリティ制限をバイパスする可能性があります。この問題の影響を受けるのは、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS、Ubuntu 25.10、Ubuntu 26.04 LTS のみです。(CVE-2026-2950)

    Lodash がテンプレート関数への特定の入力を適切に検証しなかったことが判明しました。攻撃者がこの問題を利用して、テンプレートの処理中に悪意のあるコードを挿入し、任意のコードの実行を引き起こす可能性があります。(CVE-2026-4800)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのDebian 12ホストには、dla-4820アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ----------------------------------------------------------------------- Debian LTSアドバイザリ DLA-4820-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Utkarsh Gupta、2026年10月5日 https://wiki.debian.org/LTS
    - -----------------------------------------------------------------------

    パッケージ:node-lodash バージョン: 4.17.21+dfsg+~cs8.31.198.20210220-9+deb12u1 CVE ID: CVE-2025-13465 CVE-2026-2950 CVE-2026-4800 Debian バグ:1126265

    一般的なプログラミングタスク用のユーティリティ機能を提供する Node.js モジュールである node-lodash で、いくつかの脆弱性が発見されました。

    CVE-2025-13465

        _.unset 関数と _.omit 関数のプロトタイプ汚染。細工されたプロパティパスが、組み込みプロトタイプ(Object.prototype など)からプロパティを削除するために使用され、可用性と整合性の問題を引き起こす可能性があります。

    CVE-2026-2950

        CVE-2025-13465 に対する不完全な修正。初期ガードは、文字列キーメンバーとリテラル constructor.prototype シーケンスのみを処理していたため、配列でラップされたパスセグメント([['constructor']、['keys']]など)、コンストラクターの静的メソッドを介して、またはプリミティブなルートからバイパスされることがあります。これにより、共有された組み込みプロトタイプのプロパティが再び削除される可能性があります。

    CVE-2026-4800

        _.template 関数のコードインジェクション。CVE-2021-23337の不完全な修正:変数オプションは検証されましたが、インポートオプションのキー名は検証されませんでした。インポートキー名として渡される信頼できない入力により、デフォルトのパラメーター式が注入され、テンプレートのコンパイル時に同じ Function() コンストラクターシンクを介して任意のコードが実行される可能性があります。

    Debian 12 bookworm では、これらの問題はバージョン 4.17.21+dfsg+~cs8.31.198.20210220-9+deb12u1 で修正されました。

    node-lodash パッケージをアップグレードすることを推奨します。

    node-lodash の詳細なセキュリティステータスについては、次のセキュリティトラッカーのページを参照してください:
    https://security-tracker.debian.org/tracker/node-lodash

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
115562	Lodash < 4.18.0 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/10/2	2026/10/2	critical
324594	Debian dla-4663:libjs-lodash - セキュリティ更新	Nessus	Debian Local Security Checks	2026/7/1	2026/7/1	high
304822	Linux Distros のパッチ未適用の脆弱性: CVE-2026-2950	Nessus	Misc.	2026/4/4	2026/10/5	medium
333386	IBM WebSphere eXtreme Scale 8.6.2.0 < 8.6.2.2 (7282872)	Nessus	Web Servers	2026/8/8	2026/8/8	high
347960	IBM Cognos Analytics 12.0.4 < 12.0.4 FP3 / 12.1.x < 12.1.3 FP2 の複数の脆弱性 (7287209)	Nessus	CGI abuses	2026/9/18	2026/9/21	high
320407	Ubuntu 16.04 LTS/ 18.04 LTS/ 20.04 LTS/ 22.04 LTS/ 24.04 LTS/ 25.10 / 26.04 LTS:Lodash の脆弱性(USN-8411-1)	Nessus	Ubuntu Local Security Checks	2026/6/11	2026/6/11	high
362922	Debian DLA-4820:libjs-lodash - セキュリティ更新	Nessus	Debian Local Security Checks	2026/10/5	2026/10/5	high

検出

プラグインの検索

critical

high

medium

high

high

high

high