Sider: Converse com todas as IAs: GPT-5, Claude, DeepSeek, Gemini, Grok

Impacto: A correção para CVE-2021-23337 (https://github.com/advisories/GHSA-35jh-r3h4-6jhm) adicionou validação para a opção de variável em `_.template`, mas não aplicou a mesma validação aos nomes de chave em `options.imports`. Ambos os caminhos convergem para o mesmo construtor `Function()`. Quando um aplicativo passa entradas não confiáveis ​​como nomes de chave em `options.imports`, um atacante pode injetar expressões de parâmetro padrão que executam código arbitrário no momento da compilação do template. Além disso, `_.template` usa `assignInWith` para mesclar importações, o que enumera propriedades herdadas por meio de `for..in`. Se `Object.prototype` tiver sido corrompido por qualquer outro vetor, as chaves corrompidas são copiadas para o objeto `imports` e passadas para `Function()`. Correções: Os usuários devem atualizar para a versão 4.18.0. Soluções alternativas: Não passe entradas não confiáveis ​​como nomes de chave em `options.imports`. Use apenas nomes de chave estáticos controlados pelo desenvolvedor.

Impacto: As versões do Lodash 4.17.23 e anteriores são vulneráveis ​​à poluição de protótipos nas funções `_.unset` e `_.omit`. A correção para (CVE-2025-13465: https://github.com/lodash/lodash/security/advisories/GHSA-xxjr-mmjv-4gpg) protege apenas contra membros de chave do tipo string, permitindo que um atacante contorne a verificação passando segmentos de caminho encapsulados em arrays. Isso possibilita a exclusão de propriedades de protótipos integrados, como `Object.prototype`, `Number.prototype` e `String.prototype`. O problema permite a exclusão de propriedades de protótipos, mas não permite a sobrescrita de seu comportamento original. Correções: Este problema foi corrigido na versão 4.18.0. Soluções alternativas: Nenhuma. Atualize para a versão corrigida.

As versões do Lodash de 4.0.0 a 4.17.22 são vulneráveis ​​à poluição de protótipos nas funções `_.unset` e `_.omit`. Um atacante pode passar caminhos manipulados que fazem com que o Lodash exclua métodos de protótipos globais. O problema permite a exclusão de propriedades, mas não permite sobrescrever seu comportamento original. Essa vulnerabilidade foi corrigida na versão 4.17.23.