p PatchFirst

CVE-2026-2950

CVE-2026-2950 · lodash vulnerable to Prototype Pollution via array path bypass in `_.unset` and `_.omit`

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

The _.unset and _.omit functions in Lodash are vulnerable to prototype pollution. The fix for CVE-2025-13465 only guards against string key members, so an attacker can bypass the check by passing array-wrapped path segments. This allows deletion of properties from built-in prototypes such as Object.prototype, Number.prototype, and String.prototype. The issue permits deletion of prototype properties but does not allow overwriting their original behavior. The issue is patched from 4.18.0 to 4.18.1 depending on the package: lodash, lodash-es, and lodash-amd in 4.18.1, and the standalone lodash.unset and lodash.omit packages in 4.18.0.

CVSS 6.5 · Media · EPSS 0,3% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system · node

Productos y versiones afectados

  • lodash

    Versiones
    • ≥ 4.17.23, < 4.18.1: Afectada (semver)
    • 4.18.1: No afectada (semver)

    Actualiza a 4.18.1

  • lodash-es

    Versiones
    • ≥ 4.17.23, < 4.18.1: Afectada (semver)
    • 4.18.1: No afectada (semver)

    Actualiza a 4.18.1

  • lodash-amd

    Versiones
    • ≥ 4.17.23, < 4.18.1: Afectada (semver)
    • 4.18.1: No afectada (semver)

    Actualiza a 4.18.1

  • lodash.unset

    Versiones
    • ≥ 0, < 4.18.0: Afectada (semver)
    • 4.18.0: No afectada (semver)

    Actualiza a 4.18.0

  • lodash.omit

    Versiones
    • ≥ 0, < 4.18.0: Afectada (semver)
    • 4.18.0: No afectada (semver)

    Actualiza a 4.18.0

  • node-lodash Debian:12

    Versiones
    • 4.17.21+dfsg+~cs8.31.198.20210220-9
    Intervalos de versiones afectados
    • ECOSYSTEM: < 4.17.21+dfsg+~cs8.31.198.20210220-9+deb12u1

    Actualiza a 4.17.21+dfsg+~cs8.31.198.20210220-9+deb12u1

  • node-lodash Debian:13

    Versiones
    • 4.17.21+dfsg+~cs8.31.198.20210220-9
    Intervalos de versiones afectados
    • ECOSYSTEM: < 4.17.21+dfsg+~cs8.31.198.20210220-9+deb13u1

    Actualiza a 4.17.21+dfsg+~cs8.31.198.20210220-9+deb13u1

  • node-lodash Debian:14

    Versiones
    • 4.17.21+dfsg+~cs8.31.198.20210220-10
    • 4.17.21+dfsg+~cs8.31.198.20210220-9
    • 4.17.23+dfsg-1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 4.18.1+dfsg-1

    Actualiza a 4.18.1+dfsg-1

  • lodash npm

    Versiones
    • 4.17.23
    Intervalos de versiones afectados
    • SEMVER: ≥ 4.17.23, < 4.18.1

    Actualiza a 4.18.1

  • lodash-es npm

    Versiones
    • 4.17.23
    Intervalos de versiones afectados
    • SEMVER: ≥ 4.17.23, < 4.18.1

    Actualiza a 4.18.1

  • lodash-amd npm

    Versiones
    • 4.17.23
    Intervalos de versiones afectados
    • SEMVER: ≥ 4.17.23, < 4.18.1

    Actualiza a 4.18.1

  • lodash.unset npm

    Intervalos de versiones afectados
    • SEMVER: < 4.18.0

    Actualiza a 4.18.0

  • lodash.omit npm

    Intervalos de versiones afectados
    • SEMVER: < 4.18.0

    Actualiza a 4.18.0

  • node-lodash Ubuntu:Pro:16.04:LTS

    Versiones
    • 2.4.1+dfsg-3
    Intervalos de versiones afectados
    • ECOSYSTEM: < 2.4.1+dfsg-3ubuntu0.1~esm1

    Actualiza a 2.4.1+dfsg-3ubuntu0.1~esm1

  • node-lodash Ubuntu:Pro:18.04:LTS

    Versiones
    • 4.17.4+dfsg-1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 4.17.4+dfsg-1ubuntu0.1~esm1

    Actualiza a 4.17.4+dfsg-1ubuntu0.1~esm1

  • node-lodash Ubuntu:Pro:20.04:LTS

    Versiones
    • 4.17.11+dfsg-4
    • 4.17.15+dfsg-2
    Intervalos de versiones afectados
    • ECOSYSTEM: < 4.17.15+dfsg-2ubuntu0.1~esm1

    Actualiza a 4.17.15+dfsg-2ubuntu0.1~esm1

  • node-lodash Ubuntu:Pro:22.04:LTS

    Versiones
    • 4.17.21+dfsg+~cs8.31.173-1
    • 4.17.21+dfsg+~cs8.31.196.20210220-2
    • 4.17.21+dfsg+~cs8.31.198.20210220-4
    • 4.17.21+dfsg+~cs8.31.198.20210220-5
    Intervalos de versiones afectados
    • ECOSYSTEM: < 4.17.21+dfsg+~cs8.31.198.20210220-5ubuntu0.1~esm1

    Actualiza a 4.17.21+dfsg+~cs8.31.198.20210220-5ubuntu0.1~esm1

  • node-lodash Ubuntu:Pro:24.04:LTS

    Versiones
    • 4.17.21+dfsg+~cs8.31.198.20210220-9
    Intervalos de versiones afectados
    • ECOSYSTEM: < 4.17.21+dfsg+~cs8.31.198.20210220-9ubuntu0.24.04.1~esm1

    Actualiza a 4.17.21+dfsg+~cs8.31.198.20210220-9ubuntu0.24.04.1~esm1

  • node-lodash Ubuntu:25.10

    Versiones
    • 4.17.21+dfsg+~cs8.31.198.20210220-9
    Intervalos de versiones afectados
    • ECOSYSTEM: < 4.17.21+dfsg+~cs8.31.198.20210220-9ubuntu0.25.10.1

    Actualiza a 4.17.21+dfsg+~cs8.31.198.20210220-9ubuntu0.25.10.1

  • node-lodash Ubuntu:26.10

    Versiones
    • 4.17.23+dfsg-1
    • 4.18.1+dfsg-3
    • 4.18.1+dfsg1-1
    • 4.18.1+dfsg1-2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-lodash Ubuntu:Pro:26.04:LTS

    Versiones
    • 4.17.21+dfsg+~cs8.31.198.20210220-9
    • 4.17.23+dfsg-1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 4.17.23+dfsg-1ubuntu0.1~esm1

    Actualiza a 4.17.23+dfsg-1ubuntu0.1~esm1

Fuentes originales

Comprueba tu servidor →