CVE-2026-4800

总结

影响：针对 CVE-2021-23337（https://github.com/advisories/GHSA-35jh-r3h4-6jhm）的修复为 `_.template` 中的 `variable` 选项添加了验证，但未对 `options.imports` 的键名应用相同的验证。两条路径都会汇入同一个 `Function()` 构造函数接收点。当应用程序将不受信任的输入作为 `options.imports` 的键名传入时，攻击者可以注入默认参数表达式，从而在模板编译时执行任意代码。此外，`_.template` 使用 `assignInWith` 合并 `imports`，该函数通过 `for..in` 枚举继承属性。如果 `Object.prototype` 已被任何其他向量污染，被污染的键会被复制到 `imports` 对象中并传递给 `Function()`。补丁：用户应升级至 4.18.0 版本。缓解措施：不要将不受信任的输入作为 `options.imports` 中的键名传入。仅使用由开发者控制的静态键名。

• CVE-2026-4800-POCPoC

  概念验证，演示如何通过原型污染在 lodash 模板中实现远程代码执行，并详细分析攻击流程与利用技术。