Se han descubierto múltiples vulnerabilidades en lodash, una biblioteca de utilidades popular para Node.js. Estas vulnerabilidades incluyen la inyección de código a través de `_.template` y la contaminación de prototipos a través de `_.unset` y `_.omit`. Los usuarios que pasan entradas no confiables a estas funciones están en riesgo. La versión 4.18.0 contiene parches para estos problemas.
La puntuación CVSS más alta es de 8.1, lo que indica una vulnerabilidad de alta gravedad.
¿Qué es Lodash?
Se utiliza ampliamente en entornos Node.js y de navegador para realizar tareas de programación comunes de manera más eficiente. Lodash ofrece una variedad de funciones para tareas como mapeo, filtrado y reducción de datos. Para obtener más información, puede buscar todos los CVE de lodash.
CVE-2026-4800: Inyección de código en `_.template`
Alta gravedad: Ejecución de código explotable con potencial de impacto significativo.
La puntuación del Sistema de Puntuación de Predicción de Explotación (EPSS) de 0.068 indica una baja probabilidad de explotación.
La entrada no confiable que se pasa como nombres de clave en `options.imports` a `_.template` puede provocar la inyección de código. Un atacante puede inyectar expresiones de parámetros predeterminados, ejecutando código arbitrario durante la compilación de la plantilla.
Cómo solucionar CVE-2026-4800 en Lodash
Parchear ahora- 1.Actualice lodash a la versión 4.18.0 o posterior.
npm update lodashSolución temporal: No pase entradas no confiables como nombres de clave en `options.imports`. Utilice solo nombres de clave estáticos controlados por el desarrollador.
NextGuard marca automáticamente CVE-2026-4800 si lodash aparece en cualquiera de sus proyectos supervisados; no se requiere búsqueda manual.
CVE-2026-2950: Contaminación de prototipos en `_.unset` y `_.omit`
Gravedad media: Impacto limitado, pero potencial de denegación de servicio.
La puntuación del Sistema de Puntuación de Predicción de Explotación (EPSS) de 0.042 indica una baja probabilidad de explotación.
Las funciones `_.unset` y `_.omit` son vulnerables a la contaminación de prototipos debido a la validación de entrada insuficiente. Un atacante puede eludir las medidas de seguridad anteriores utilizando segmentos de ruta envueltos en matrices para eliminar propiedades de prototipos integrados.
Cómo solucionar CVE-2026-2950 en Lodash
Parchear ahora- 1.Actualice lodash a la versión 4.18.0 o posterior.
npm update lodashSolución temporal: Ninguna. Actualice a la versión parcheada.
Manténgase a la vanguardia de las vulnerabilidades de Node.js
Identifique y corrija de forma proactiva las vulnerabilidades en sus proyectos de Node.js. Utilice NextGuard para supervisar sus dependencias de nodejs y recibir alertas sobre nuevos CVE.
Comparar planesPreguntas frecuentes
Actualice lodash a la versión 4.18.0 para solucionar estas vulnerabilidades de seguridad críticas. Consulte regularmente todas las vulnerabilidades de nodejs para asegurarse de que sus aplicaciones permanezcan seguras. Priorice la aplicación de parches para mitigar los riesgos potenciales.
Temas relacionados