p PatchFirst

CVE-2026-4800

CVE-2026-4800 · lodash vulnerable to Code Injection via `_.template` imports key names

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Diese Seite zeigt ausgewählte Angaben aus den Quellen. Die vollständige Beschreibung und betroffene Versionen finden Sie in den verlinkten Sicherheitshinweisen.

The fix for CVE-2021-23337 added validation for the variable option in _.template but did not apply the same validation to options.imports key names, and both paths flow into the same Function() constructor sink. When an application passes untrusted input as options.imports key names, an attacker can inject default-parameter expressions that execute arbitrary code at template compilation time. Additionally, _.template uses assignInWith to merge imports, which enumerates inherited properties via for..in, so if Object.prototype has been polluted by another vector the polluted keys are copied into the imports object and passed to Function(). The issue is fixed in 4.18.1 for lodash, lodash-es, lodash-amd, and lodash.template. As a workaround, do not pass untrusted input as key names in options.imports; use only developer-controlled, static key names.

CVSS 8.1 · Hoch · EPSS 2,8% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: system · node

Betroffene Produkte und Versionen

  • lodash

    Softwareversionen
    • ≥ 4.0.0, < 4.18.1: Betroffen (semver)
    • 4.18.1: Nicht betroffen (semver)

    Auf 4.18.1 aktualisieren

  • lodash-es

    Softwareversionen
    • ≥ 4.0.0, < 4.18.1: Betroffen (semver)
    • 4.18.1: Nicht betroffen (semver)

    Auf 4.18.1 aktualisieren

  • lodash-amd

    Softwareversionen
    • ≥ 4.0.0, < 4.18.1: Betroffen (semver)
    • 4.18.1: Nicht betroffen (semver)

    Auf 4.18.1 aktualisieren

  • lodash.template

    Softwareversionen
    • ≥ 4.0.0, < 4.18.1: Betroffen (semver)
    • 4.18.1: Nicht betroffen (semver)

    Auf 4.18.1 aktualisieren

  • node-lodash Debian:12

    Softwareversionen
    • 4.17.21+dfsg+~cs8.31.198.20210220-9
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 4.17.21+dfsg+~cs8.31.198.20210220-9+deb12u1

    Auf 4.17.21+dfsg+~cs8.31.198.20210220-9+deb12u1 aktualisieren

  • node-lodash Debian:13

    Softwareversionen
    • 4.17.21+dfsg+~cs8.31.198.20210220-9
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 4.17.21+dfsg+~cs8.31.198.20210220-9+deb13u1

    Auf 4.17.21+dfsg+~cs8.31.198.20210220-9+deb13u1 aktualisieren

  • node-lodash Debian:14

    Softwareversionen
    • 4.17.21+dfsg+~cs8.31.198.20210220-10
    • 4.17.21+dfsg+~cs8.31.198.20210220-9
    • 4.17.23+dfsg-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 4.18.1+dfsg-1

    Auf 4.18.1+dfsg-1 aktualisieren

  • lodash npm

    Betroffene Versionsbereiche
    • SEMVER: ≥ 4.0.0, < 4.18.0

    Auf 4.18.0 aktualisieren

  • lodash-es npm

    Betroffene Versionsbereiche
    • SEMVER: ≥ 4.0.0, < 4.18.0

    Auf 4.18.0 aktualisieren

  • lodash-amd npm

    Betroffene Versionsbereiche
    • SEMVER: ≥ 4.0.0, < 4.18.0

    Auf 4.18.0 aktualisieren

  • lodash.template npm

    Betroffene Versionsbereiche
    • SEMVER: ≥ 4.0.0, < 4.18.0

    Auf 4.18.0 aktualisieren

  • node-lodash Ubuntu:Pro:16.04:LTS

    Softwareversionen
    • 2.4.1+dfsg-3
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 2.4.1+dfsg-3ubuntu0.1~esm1

    Auf 2.4.1+dfsg-3ubuntu0.1~esm1 aktualisieren

  • node-lodash Ubuntu:Pro:18.04:LTS

    Softwareversionen
    • 4.17.4+dfsg-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 4.17.4+dfsg-1ubuntu0.1~esm1

    Auf 4.17.4+dfsg-1ubuntu0.1~esm1 aktualisieren

  • node-lodash Ubuntu:Pro:20.04:LTS

    Softwareversionen
    • 4.17.11+dfsg-4
    • 4.17.15+dfsg-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 4.17.15+dfsg-2ubuntu0.1~esm1

    Auf 4.17.15+dfsg-2ubuntu0.1~esm1 aktualisieren

  • node-lodash Ubuntu:Pro:22.04:LTS

    Softwareversionen
    • 4.17.21+dfsg+~cs8.31.173-1
    • 4.17.21+dfsg+~cs8.31.196.20210220-2
    • 4.17.21+dfsg+~cs8.31.198.20210220-4
    • 4.17.21+dfsg+~cs8.31.198.20210220-5
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 4.17.21+dfsg+~cs8.31.198.20210220-5ubuntu0.1~esm1

    Auf 4.17.21+dfsg+~cs8.31.198.20210220-5ubuntu0.1~esm1 aktualisieren

  • node-lodash Ubuntu:Pro:24.04:LTS

    Softwareversionen
    • 4.17.21+dfsg+~cs8.31.198.20210220-9
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 4.17.21+dfsg+~cs8.31.198.20210220-9ubuntu0.24.04.1~esm1

    Auf 4.17.21+dfsg+~cs8.31.198.20210220-9ubuntu0.24.04.1~esm1 aktualisieren

  • node-lodash Ubuntu:25.10

    Softwareversionen
    • 4.17.21+dfsg+~cs8.31.198.20210220-9
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 4.17.21+dfsg+~cs8.31.198.20210220-9ubuntu0.25.10.1

    Auf 4.17.21+dfsg+~cs8.31.198.20210220-9ubuntu0.25.10.1 aktualisieren

  • node-lodash Ubuntu:26.10

    Softwareversionen
    • 4.17.23+dfsg-1
    • 4.18.1+dfsg-3
    • 4.18.1+dfsg1-1
    • 4.18.1+dfsg1-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-lodash Ubuntu:Pro:26.04:LTS

    Softwareversionen
    • 4.17.21+dfsg+~cs8.31.198.20210220-9
    • 4.17.23+dfsg-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 4.17.23+dfsg-1ubuntu0.1~esm1

    Auf 4.17.23+dfsg-1ubuntu0.1~esm1 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →