lodashにおいて、`_.unset`および`_.omit`の配列パスバイパスによりPrototype Pollutionの脆弱性

CVE-2026-2950 は、Lodash のバージョン 4.17.23 以前に影響を与え、.unset および .omit 関数でプロトタイプ汚染の脆弱性を導入します。 CVE-2025-13465 のための修正は、この問題を軽減することを目的としていましたが、文字列キーメンバーのみを保護していました。攻撃者は、配列でラップされたパスセグメントを渡すことで、このチェックを回避できます。これにより、Object.prototype、Number.prototype、String.prototype などの組み込みプロトタイプからプロパティを削除できるようになり、Lodash を使用するアプリケーションの安定性とセキュリティが損なわれます。この脆弱性の重大度は、CVSS に従って 6.5 と評価されています。プロトタイプの操作は、予期しない動作、実行時エラー、および悪意のあるコードの実行につながる可能性があります。

Applications built with Node.js that utilize Lodash, particularly those that accept user-supplied data and pass it directly to .unset or .omit functions, are at significant risk. Projects relying on older versions of Lodash within complex JavaScript ecosystems are also vulnerable, as are developers who have not kept their dependencies up-to-date.

• nodejs:

  npm list lodash

This command will list installed Lodash versions. Check if the version is below 4.18.0. • nodejs:

  find node_modules -name "lodash.js" -print0 | xargs -0 grep -i "_.unset" -l

This searches for files containing .unset within the nodemodules directory, indicating potential usage of the vulnerable function. • generic web: Inspect application logs for unusual errors or exceptions related to prototype properties. Look for patterns suggesting property deletion or modification. • generic web: Review application code for instances of .unset and .omit where user-supplied input is used to construct the path segments.

1. 2026-04-01Disclosure

   disclosure

1. 予約済み2026-02-21
2. 公開日2026-04-01
3. 更新日2026-04-02
4. EPSS 更新日2026-04-08

推奨される解決策は、Lodash のバージョン 4.18.0 以降にアップグレードすることです。このバージョンには、配列でラップされたものを含むすべてのキータイプを正しく検証することで、プロトタイプ汚染の脆弱性を解決する修正が含まれています。最新バージョンへのアップグレードがすぐに不可能な場合は、.unset および .omit を使用しているコードを徹底的にレビューし、悪用されやすいパターンがないか確認することをお勧めします。これらの関数の入力に対する追加の検証を実装することで、リスクを軽減できますが、完全な解決策ではありません。アプリケーションの異常な動作を監視することも重要です。