CVE-2026-4800

总结

CVE-2021-23337 的修复为 _.template 中的 variable 选项添加了验证，但未对 options.imports 的键名应用相同的验证，而这两条路径都会流入同一个 Function() 构造函数接收点。当应用程序将不受信任的输入作为 options.imports 的键名传入时，攻击者可以注入默认参数表达式，从而在模板编译时执行任意代码。此外，_.template 使用 assignInWith 合并 imports，该方法通过 for..in 枚举继承属性，因此如果 Object.prototype 已被其他途径污染，被污染的键会被复制到 imports 对象中并传递给 Function()。该问题已在 4.18.1 中针对 lodash、lodash-es、lodash-amd 和 lodash.template 修复。作为变通方案，请勿将不受信任的输入作为 options.imports 中的键名传入；仅使用由开发者控制的静态键名。

来源

• CVE-2026-4800-POCPoC

  概念验证，演示如何通过原型污染在 lodash 模板中实现远程代码执行，并详细分析攻击流程与利用技术。