Sider: Klepetajte z vsemi UI: GPT-5, Claude, DeepSeek, Gemini, Grok
ChatGPT, DeepSeek, Gemini, Claude, Grok – vse v eni stranski vrstici z umetno inteligenco za iskanje, branje in pisanje z umetno inteligenco.
7.1 / 10
Visoko tveganje
Za razširitveno različico 5.25.10
Najnovejša različicaVpliv: Popravek za CVE-2021-23337 (https://github.com/advisories/GHSA-35jh-r3h4-6jhm) je dodal preverjanje veljavnosti za spremenljivko option v _.template, vendar ni uporabil istega preverjanja za imena ključev options.imports. Obe poti se stekata v isti konstruktor Function(). Ko aplikacija posreduje nezaupanja vreden vnos kot imena ključev options.imports, lahko napadalec vbrizga izraze privzetih parametrov, ki med prevajanjem predloge izvedejo poljubno kodo. Poleg tega _.template za združevanje uvozov uporablja assignInWith, ki našteva podedovane lastnosti prek for..in. Če je bil Object.prototype onesnažen s katerim koli drugim vektorjem, se onesnaženi ključi kopirajo v objekt imports in posredujejo Function(). Popravki: Uporabniki naj nadgradijo na različico 4.18.0. Rešitve: Ne posredujte nezaupanja vrednega vnosa kot imena ključev v options.imports. Uporabljajte samo statična imena ključev, ki jih nadzorujejo razvijalci.
Vpliv: Različice Lodash 4.17.23 in starejše so ranljive za onesnaževanje prototipov v funkcijah _.unset in _.omit. Popravek za (CVE-2025-13465: https://github.com/lodash/lodash/security/advisories/GHSA-xxjr-mmjv-4gpg) ščiti le pred člani ključev nizov, zato lahko napadalec zaobide preverjanje s podajanjem segmentov poti, zavitih v polje. To omogoča brisanje lastnosti iz vgrajenih prototipov, kot so Object.prototype, Number.prototype in String.prototype. Težava dovoljuje brisanje lastnosti prototipov, vendar ne dovoljuje prepisovanja njihovega prvotnega vedenja. Popravki: Ta težava je odpravljena v različici 4.18.0. Rešitve: Ni. Nadgradite na popravljeno različico.
Različice Lodash od 4.0.0 do 4.17.22 so ranljive za onesnaževanje prototipov v funkcijah _.unset in _.omit. Napadalec lahko posreduje izdelane poti, zaradi katerih Lodash izbriše metode iz globalnih prototipov. Težava dovoljuje brisanje lastnosti, vendar ne dovoljuje prepisovanja njihovega prvotnega vedenja. Ta težava je odpravljena v različici 4.17.23.
Vedenjska zaznavanja
Odkleni celotno matriko MITRE ATT&CK
Politika zasebnosti
Odkleni oceno tveganja politike zasebnosti