Jdalton

تتعرض إصدارات Lodash 4.17.23 والإصدارات الأقدم منها لخطر «تلوث النماذج الأولية» (prototype pollution) من خلال الدالتين ` .unset` و` .omit`. لم يعالج الإصلاح الأولي المشكلة بشكل كامل، حيث يمكن للمهاجم تجاوز الفحص باستخدام أجزاء مسار مغلفة بمصفوفة. وهذا يسمح بحذف الخصائص من النماذج الأولية المدمجة مثل Object.prototype و Number.prototype و String.prototype. تسمح هذه المشكلة بحذف خصائص النموذج الأولي ولكنها لا تسمح بالكتابة فوق سلوكها الأصلي.

يحتوي البرنامج على ثغرة تتعلق بتجميع القوالب. وعلى وجه التحديد، قد يؤدي عدم كفاية التحقق من صحة أسماء المفاتيح داخل الكائن `options.imports` الذي تستخدمه الدالة ` .template` إلى تمكين المهاجم من إدخال تعبيرات المعلمات الافتراضية، مما يؤدي إلى تنفيذ تعليمات برمجية عشوائية. تنشأ هذه المشكلة لأن عملية التحقق من صحة المتغير `option` لا تشمل أسماء مفاتيح `options.imports`. علاوة على ذلك، قد يؤدي استخدام `assignInWith` إلى ظهور ثغرات أمنية في حالة تعرض `Object.prototype` للاختراق، مما قد يؤدي إلى نسخ مفاتيح ملوثة إلى كائن الاستيرادات، وبالتالي تنفيذ تعليمات برمجية ضارة.