lodash vulnerable to Prototype Pollution via array path bypass in `_.unset` and `_.omit`
Impact
Lodash versions 4.17.23 and earlier are vulnerable to prototype pollution in the _.unset and _.omit functions. The fix for CVE-2025-13465 only guards against string key members, so an attacker can bypass the check by passing array-wrapped path segments. This allows deletion of properties from built-in prototypes such as Object.prototype, Number.prototype, and String.prototype.
The issue permits deletion of prototype properties but does not allow overwriting their original behavior.
Patches
This issue is patched in 4.18.0.
Workarounds
None. Upgrade to the patched version.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | lodash | < 4.18.0 | 4.18.0 |
| Paquete de npm | lodash-amd | < 4.18.0 | 4.18.0 |
| Paquete de npm | lodash-es | < 4.18.0 | 4.18.0 |
| Paquete de npm | lodash.unset | >= 4.0.0, < 4.18.0 | 4.18.0 |
Referencias
- https://github.com/lodash/lodash/security/advisories/GHSA-xxjr-mmjv-4gpg
- https://nvd.nist.gov/vuln/detail/CVE-2025-13465
- https://github.com/lodash/lodash/commit/edadd452146f7e4bad4ea684e955708931d84d81
- https://cert-portal.siemens.com/productcert/html/ssa-253495.html
- https://github.com/lodash/lodash
- https://github.com/lodash/lodash/security/advisories/GHSA-f23m-r3pf-42rh
- https://nvd.nist.gov/vuln/detail/CVE-2026-2950
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L- Debilidad (CWE)
CWE-1321- Plataforma
- npm
- Paquete
lodash, lodash-amd, lodash-es- Publicada
- 21.01.2026
- Actualizado
- 17.10.2026 05:17
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-f23m-r3pf-42rh - CC BY 4.0
OSV / GitHub Advisory Database - GHSA-xxjr-mmjv-4gpg - CC BY 4.0
Historial de vulnerabilidades: lodash-es
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 6
- Primera → última
- 07.2019 01.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 1
- Alta 1
- Media 4
Divulgaciones por año
- 2019: 2
- 2020: 1
- 2021: 1
- 2022: 1
- 2023: 0
- 2024: 0
- 2025: 0
- 2026: 1
-
lodash vulnerable to Prototype Pollution via array path bypass in `_.unset` and `_.omit` esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.