lodash 存在原型污染漏洞，通过数组路径绕过 `_.unset` 和 `_.omit`

CVE-2026-2950 影响 Lodash 4.17.23 之前的版本，在 .unset 和 .omit 函数中引入了原型污染漏洞。虽然为 CVE-2025-13465 实施的修复旨在减轻此问题，但它仅保护字符串键成员。攻击者可以通过传递数组包装的路径段来绕过此检查。这允许从内置原型（例如 Object.prototype、Number.prototype 和 String.prototype）中删除属性，从而损害使用 Lodash 的应用程序的稳定性和安全性。根据 CVSS，此漏洞的严重程度评分为 6.5。原型操作可能导致意外行为、运行时错误，并可能导致恶意代码执行。

Applications built with Node.js that utilize Lodash, particularly those that accept user-supplied data and pass it directly to .unset or .omit functions, are at significant risk. Projects relying on older versions of Lodash within complex JavaScript ecosystems are also vulnerable, as are developers who have not kept their dependencies up-to-date.

• nodejs:

  npm list lodash

This command will list installed Lodash versions. Check if the version is below 4.18.0. • nodejs:

  find node_modules -name "lodash.js" -print0 | xargs -0 grep -i "_.unset" -l

This searches for files containing .unset within the nodemodules directory, indicating potential usage of the vulnerable function. • generic web: Inspect application logs for unusual errors or exceptions related to prototype properties. Look for patterns suggesting property deletion or modification. • generic web: Review application code for instances of .unset and .omit where user-supplied input is used to construct the path segments.

1. 2026-04-01Disclosure

   disclosure

1. 已保留2026-02-21
2. 发布日期2026-04-01
3. 修改日期2026-04-02
4. EPSS 更新日期2026-04-08

建议的解决方案是升级到 Lodash 4.18.0 或更高版本。此版本包含修复程序，通过正确验证所有密钥类型（包括那些包装在数组中的密钥类型）来解决原型污染漏洞。如果无法立即升级到最新版本，建议彻底审查使用 .unset 和 .omit 的代码，查找可能容易受到攻击的模式。实施对这些函数的输入进行额外的验证可以帮助减轻风险，但这并非完整的解决方案。监测应用程序是否存在异常行为也很重要。