CVE-2026-4800

Zusammenfassung

Der Fix für CVE-2021-23337 fügte eine Validierung für die Option `variable` in `_.template` hinzu, wandte jedoch nicht dieselbe Validierung auf die Schlüsselnamen von `options.imports` an, und beide Pfade fließen in dieselbe `Function()`-Konstruktor-Senke. Wenn eine Anwendung nicht vertrauenswürdige Eingaben als Schlüsselnamen von `options.imports` übergibt, kann ein Angreifer Standardparameter-Ausdrücke einschleusen, die zur Kompilierungszeit der Vorlage beliebigen Code ausführen. Darüber hinaus verwendet `_.template` `assignInWith`, um Imports zusammenzuführen, wodurch geerbte Eigenschaften über `for..in` aufgezählt werden. Wenn `Object.prototype` also durch einen anderen Vektor verschmutzt wurde, werden die verschmutzten Schlüssel in das Imports-Objekt kopiert und an `Function()` übergeben. Das Problem ist in 4.18.1 für lodash, lodash-es, lodash-amd und lodash.template behoben. Als Workaround sollten Sie keine nicht vertrauenswürdigen Eingaben als Schlüsselnamen in `options.imports` übergeben; verwenden Sie ausschließlich vom Entwickler kontrollierte, statische Schlüsselnamen.

Quellen

• CVE-2026-4800-POCPoC

  Proof-of-concept, das die Remote-Codeausführung in lodash-Templates über Prototype Pollution demonstriert, mit detaillierter Analyse des Angriffsablaufs und der Ausnutzungstechnik.