CVE-2026-2950 in Lodash
Tóm tắt
Bởi VulDB • 28/06/2026
Tác động:
Các phiên bản Lodash từ 4.17.23 trở về trước đều dễ bị tổn thương do ô nhiễm prototype (prototype pollution) trong các hàm `_.unset` và `_.omit`. Bản sửa lỗi cho (CVE-2025-13465: https://github.com/lodash/lodash/security/advisories/GHSA-xxjr-mmjv-4gpg) chỉ bảo vệ chống lại các thành phần khóa là chuỗi, do đó kẻ tấn công có thể vượt qua kiểm tra này bằng cách truyền các đoạn đường dẫn được bao bọc trong mảng. Điều này cho phép xóa các thuộc tính khỏi các prototype tích hợp sẵn như `Object.prototype`, `Number.prototype` và `String.prototype`.
Vấn đề này cho phép xóa các thuộc tính của prototype nhưng không cho phép ghi đè hành vi gốc của chúng.
Bản vá:
Sự cố này đã được sửa trong phiên bản 4.18.0.
Biện pháp khắc phục tạm thời:
Không có. Hãy nâng cấp lên phiên bản đã được vá lỗi.
If you want to get best quality of vulnerability data, you may have to visit VulDB.