Browsec VPN - Gratis VPN voor Chrome

Impact: De oplossing voor CVE-2021-23337 (https://github.com/advisories/GHSA-35jh-r3h4-6jhm) voegde validatie toe voor de variabele optie in _.template, maar paste dezelfde validatie niet toe op sleutelnamen in options.imports. Beide paden leiden naar dezelfde Function()-constructor. Wanneer een applicatie onbetrouwbare invoer doorgeeft als sleutelnamen in options.imports, kan een aanvaller expressies met standaardparameters injecteren die willekeurige code uitvoeren tijdens de templatecompilatie. Bovendien gebruikt _.template assignInWith om imports samen te voegen, waarbij overgeërfde eigenschappen worden opgesomd via for..in. Als Object.prototype is gemanipuleerd door een andere vector, worden de gemanipuleerde sleutels gekopieerd naar het imports-object en doorgegeven aan Function(). Patches: Gebruikers wordt aangeraden te upgraden naar versie 4.18.0. Tijdelijke oplossingen: Geef geen onbetrouwbare invoer door als sleutelnamen in options.imports. Gebruik alleen door ontwikkelaars beheerde, statische sleutelnamen.

Impact: Lodash-versies 4.17.23 en ouder zijn kwetsbaar voor prototypevervuiling in de functies _.unset en _.omit. De oplossing voor (CVE-2025-13465: https://github.com/lodash/lodash/security/advisories/GHSA-xxjr-mmjv-4gpg) beschermt alleen tegen sleutelleden van het type string, waardoor een aanvaller de controle kan omzeilen door padsegmenten in array-vorm door te geven. Dit maakt het mogelijk om eigenschappen te verwijderen uit ingebouwde prototypes zoals Object.prototype, Number.prototype en String.prototype. Het probleem staat het verwijderen van prototype-eigenschappen toe, maar niet het overschrijven van hun oorspronkelijke gedrag. Patches: Dit probleem is verholpen in versie 4.18.0. Tijdelijke oplossingen: Geen. Upgrade naar de gepatchte versie.

Lodash-versies 4.0.0 tot en met 4.17.22 zijn kwetsbaar voor prototypevervuiling in de functies _.unset en _.omit. Een aanvaller kan speciaal geconstrueerde paden doorgeven die ervoor zorgen dat Lodash methoden uit globale prototypes verwijdert. Dit probleem maakt het mogelijk om eigenschappen te verwijderen, maar staat niet toe dat hun oorspronkelijke gedrag wordt overschreven. Dit probleem is verholpen in versie 4.17.23.