CVE-2025-13465
ثغرة تلوث النموذج الأولي في دالتي _.unset و _.omit في Lodash
- تم النشر
- 21/01/2026
- محدث
- 15/10/2026
- تخصيص CNA
- openjs
- الأدلة المرصودة
- 08/08/2026
CVSS الأساسي
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:L/SC:H/SI:H/SA:H/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xمنخفض · الثلاثين يومًا القادمة
- المئوية
- 78.7%
- تاريخ الموديل
- 24/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
تُعد الدالتان `_.unset` و`_.omit` في Lodash عرضة لتلوث النموذج الأولي (prototype pollution). يمكن للمهاجم تمرير مسارات مصممة بعناية تجعل Lodash يحذف دوالًا من النماذج الأولية العامة. تسمح المشكلة بحذف الخصائص لكنها لا تتيح الكتابة فوق سلوكها الأصلي. تم إصلاح المشكلة في الإصدارات من 4.17.23 إلى 4.18.0 حسب الحزمة: lodash وlodash-es وlodash-amd في 4.17.23، والحزمتان المستقلتان lodash.unset وlodash.omit في 4.18.0.
المصادر
# بيئة إعادة إنتاج لـ CVE-2025-13465، توضح ثغرة أمنية في تطبيقات Next.js التي تستخدم Lodash. توفر إعدادًا بسيطًا لاختبار وتحليل الخلل الأمني.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.