p PatchFirst

CVE-2026-2950

CVE-2026-2950 · lodash vulnerable to Prototype Pollution via array path bypass in `_.unset` and `_.omit`

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

The _.unset and _.omit functions in Lodash are vulnerable to prototype pollution. The fix for CVE-2025-13465 only guards against string key members, so an attacker can bypass the check by passing array-wrapped path segments. This allows deletion of properties from built-in prototypes such as Object.prototype, Number.prototype, and String.prototype. The issue permits deletion of prototype properties but does not allow overwriting their original behavior. The issue is patched from 4.18.0 to 4.18.1 depending on the package: lodash, lodash-es, and lodash-amd in 4.18.1, and the standalone lodash.unset and lodash.omit packages in 4.18.0.

CVSS 6.5 · Mittel · EPSS 0,3% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: system · node

Betroffene Produkte und Versionen

  • lodash

    Softwareversionen
    • ≥ 4.17.23, < 4.18.1: Betroffen (semver)
    • 4.18.1: Nicht betroffen (semver)

    Auf 4.18.1 aktualisieren

  • lodash-es

    Softwareversionen
    • ≥ 4.17.23, < 4.18.1: Betroffen (semver)
    • 4.18.1: Nicht betroffen (semver)

    Auf 4.18.1 aktualisieren

  • lodash-amd

    Softwareversionen
    • ≥ 4.17.23, < 4.18.1: Betroffen (semver)
    • 4.18.1: Nicht betroffen (semver)

    Auf 4.18.1 aktualisieren

  • lodash.unset

    Softwareversionen
    • ≥ 0, < 4.18.0: Betroffen (semver)
    • 4.18.0: Nicht betroffen (semver)

    Auf 4.18.0 aktualisieren

  • lodash.omit

    Softwareversionen
    • ≥ 0, < 4.18.0: Betroffen (semver)
    • 4.18.0: Nicht betroffen (semver)

    Auf 4.18.0 aktualisieren

  • node-lodash Debian:12

    Softwareversionen
    • 4.17.21+dfsg+~cs8.31.198.20210220-9
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 4.17.21+dfsg+~cs8.31.198.20210220-9+deb12u1

    Auf 4.17.21+dfsg+~cs8.31.198.20210220-9+deb12u1 aktualisieren

  • node-lodash Debian:13

    Softwareversionen
    • 4.17.21+dfsg+~cs8.31.198.20210220-9
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 4.17.21+dfsg+~cs8.31.198.20210220-9+deb13u1

    Auf 4.17.21+dfsg+~cs8.31.198.20210220-9+deb13u1 aktualisieren

  • node-lodash Debian:14

    Softwareversionen
    • 4.17.21+dfsg+~cs8.31.198.20210220-10
    • 4.17.21+dfsg+~cs8.31.198.20210220-9
    • 4.17.23+dfsg-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 4.18.1+dfsg-1

    Auf 4.18.1+dfsg-1 aktualisieren

  • lodash npm

    Softwareversionen
    • 4.17.23
    Betroffene Versionsbereiche
    • SEMVER: ≥ 4.17.23, < 4.18.1

    Auf 4.18.1 aktualisieren

  • lodash-es npm

    Softwareversionen
    • 4.17.23
    Betroffene Versionsbereiche
    • SEMVER: ≥ 4.17.23, < 4.18.1

    Auf 4.18.1 aktualisieren

  • lodash-amd npm

    Softwareversionen
    • 4.17.23
    Betroffene Versionsbereiche
    • SEMVER: ≥ 4.17.23, < 4.18.1

    Auf 4.18.1 aktualisieren

  • lodash.unset npm

    Betroffene Versionsbereiche
    • SEMVER: < 4.18.0

    Auf 4.18.0 aktualisieren

  • lodash.omit npm

    Betroffene Versionsbereiche
    • SEMVER: < 4.18.0

    Auf 4.18.0 aktualisieren

  • node-lodash Ubuntu:Pro:16.04:LTS

    Softwareversionen
    • 2.4.1+dfsg-3
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 2.4.1+dfsg-3ubuntu0.1~esm1

    Auf 2.4.1+dfsg-3ubuntu0.1~esm1 aktualisieren

  • node-lodash Ubuntu:Pro:18.04:LTS

    Softwareversionen
    • 4.17.4+dfsg-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 4.17.4+dfsg-1ubuntu0.1~esm1

    Auf 4.17.4+dfsg-1ubuntu0.1~esm1 aktualisieren

  • node-lodash Ubuntu:Pro:20.04:LTS

    Softwareversionen
    • 4.17.11+dfsg-4
    • 4.17.15+dfsg-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 4.17.15+dfsg-2ubuntu0.1~esm1

    Auf 4.17.15+dfsg-2ubuntu0.1~esm1 aktualisieren

  • node-lodash Ubuntu:Pro:22.04:LTS

    Softwareversionen
    • 4.17.21+dfsg+~cs8.31.173-1
    • 4.17.21+dfsg+~cs8.31.196.20210220-2
    • 4.17.21+dfsg+~cs8.31.198.20210220-4
    • 4.17.21+dfsg+~cs8.31.198.20210220-5
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 4.17.21+dfsg+~cs8.31.198.20210220-5ubuntu0.1~esm1

    Auf 4.17.21+dfsg+~cs8.31.198.20210220-5ubuntu0.1~esm1 aktualisieren

  • node-lodash Ubuntu:Pro:24.04:LTS

    Softwareversionen
    • 4.17.21+dfsg+~cs8.31.198.20210220-9
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 4.17.21+dfsg+~cs8.31.198.20210220-9ubuntu0.24.04.1~esm1

    Auf 4.17.21+dfsg+~cs8.31.198.20210220-9ubuntu0.24.04.1~esm1 aktualisieren

  • node-lodash Ubuntu:25.10

    Softwareversionen
    • 4.17.21+dfsg+~cs8.31.198.20210220-9
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 4.17.21+dfsg+~cs8.31.198.20210220-9ubuntu0.25.10.1

    Auf 4.17.21+dfsg+~cs8.31.198.20210220-9ubuntu0.25.10.1 aktualisieren

  • node-lodash Ubuntu:26.10

    Softwareversionen
    • 4.17.23+dfsg-1
    • 4.18.1+dfsg-3
    • 4.18.1+dfsg1-1
    • 4.18.1+dfsg1-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-lodash Ubuntu:Pro:26.04:LTS

    Softwareversionen
    • 4.17.21+dfsg+~cs8.31.198.20210220-9
    • 4.17.23+dfsg-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 4.17.23+dfsg-1ubuntu0.1~esm1

    Auf 4.17.23+dfsg-1ubuntu0.1~esm1 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →