CVE-2025-13465
Уязвимость Prototype Pollution в функциях .unset и .omit библиотеки Lodash
- Опубликовано
- 21 янв. 2026 г.
- Обновлено
- 15 окт. 2026 г.
- Назначение CNA
- openjs
- Наблюдены доказательства
- 8 авг. 2026 г.
Первичный CVSS
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:L/SC:H/SI:H/SA:H/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XНизкий · следующие 30 дней
- Процентиль
- 78,6 %
- Дата модели
- 26 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
Функции `_.unset` и `_.omit` в Lodash уязвимы к загрязнению прототипа (prototype pollution). Злоумышленник может передать специально сформированные пути, которые заставляют Lodash удалять методы из глобальных прототипов. Проблема позволяет удалять свойства, но не позволяет перезаписывать их исходное поведение. Уязвимость исправлена в версиях с 4.17.23 до 4.18.0 в зависимости от пакета: lodash, lodash-es и lodash-amd в 4.17.23, а отдельные пакеты lodash.unset и lodash.omit — в 4.18.0.
Источники
Среда воспроизведения для CVE-2025-13465, демонстрирующая уязвимость в приложениях Next.js, использующих Lodash. Предоставляет минимальную настройку для тестирования и анализа уязвимости.
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.