Lodash < 4.18.0 の複数の脆弱性

critical Web App Scanning プラグイン ID 115562

Language:

概要

説明

自己報告されたバージョン番号によると、Lodash は 4.18.0 より前です。そのため、以下の複数の脆弱性の影響を受けます。

- _.template 関数でのコードインジェクションの脆弱性。変数 option への CVE-2021-23337 に対して追加された検証が、同じ Function() コンストラクターシンクに渡される options.imports キー名に適用されませんでした。これらのキー名をコントロールできる攻撃者は、テンプレートのコンパイル時に任意のコードを実行するデフォルトパラメーター式を注入する可能性があります。さらに、継承されたプロパティがインポートにマージされ、汚染された Object.prototype キーがシンクに到達できるようになりました。(CVE-2026-4800)

- _.unset 関数と _.omit 関数でのプロトタイプ汚染の脆弱性。保護された文字列パスセグメントのみ CVE-2025-13465 修正により、攻撃者はパスセグメントを配列でラッピングすることでこれをバイパスできます。これにより、Object.prototype、Number.prototype、String.prototype などの組み込みプロトタイプからプロパティが削除される可能性があります。この発行により、プロパティの削除は許可されますが、元の動作を上書きすることはできません。(CVE-2026-2950)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。