CVE-2026-4800
lodash عرضة لحقن الأكواد عبر أسماء مفاتيح الاستيراد في _.template
- تم النشر
- 31/03/2026
- محدث
- 15/10/2026
- تخصيص CNA
- openjs
- الأدلة المرصودة
- 25/08/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hمنخفض · الثلاثين يومًا القادمة
- المئوية
- 85.3%
- تاريخ الموديل
- 23/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
أضاف الإصلاح الخاص بـ CVE-2021-23337 التحقق من صحة خيار variable في _.template لكنه لم يطبّق التحقق نفسه على أسماء مفاتيح options.imports، ويمرّ كلا المسارين إلى نفس نقطة الوصول في مُنشئ Function(). عندما تمرّر تطبيقات مدخلات غير موثوقة كأسماء مفاتيح في options.imports، يستطيع المهاجم حقن تعبيرات معاملات افتراضية تنفّذ تعليمات برمجية عشوائية وقت تجميع القالب. إضافةً إلى ذلك، يستخدم _.template الدالة assignInWith لدمج imports، والتي تعدّد الخصائص الموروثة عبر for..in، فإذا كانت Object.prototype قد تلوّثت بواسطة ناقل آخر، تُنسخ المفاتيح الملوّثة إلى كائن imports وتُمرّر إلى Function(). تم إصلاح المشكلة في الإصدار 4.18.1 لكلٍّ من lodash وlodash-es وlodash-amd وlodash.template. وكحلٍّ بديل، لا تمرّر مدخلات غير موثوقة كأسماء مفاتيح في options.imports؛ استخدم فقط أسماء مفاتيح ثابتة يتحكّم بها المطوّر.
المصادر
إثبات مفهوم يوضح تنفيذ الأوامر عن بُعد في قالب lodash عبر تلويث النموذج الأولي، مع تحليل مفصّل لمسار الهجوم وتقنية الاستغلال.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.