遠端 Debian 12 主機已安裝的套件會受到 dla-4820 公告中提及的多個弱點影響。

    - ----------------------------------------------------------------------- Debian LTS 公告 DLA-4820-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Utkarsh Gupta 2026 年 10 月 5 日 https://wiki.debian.org/LTS
    - -----------------------------------------------------------------------

    套件 ： node-lodash 版本 ： 4.17.21+dfsg+~cs8.31.198.20210220-9+deb12u1 CVE ID ： CVE-2025-13465 CVE-2026-2950 CVE-2026-4800 Debian 錯誤 ： 1126265

    在 node-lodash 中發現了多個漏洞，node-lodash 是一個為常見程式設計任務提供實用函數的Node.js模組。

    CVE-2025-13465

        _.unset 和 _.omit 函式中的原型污染。特製的屬性路徑可用來從內建原型 （例如 Object.prototype） 中刪除屬性，進而導致可用性和完整性問題。

    CVE-2026-2950

        CVE-2025-13465 的修正不完整。初始防護僅處理字串金鑰成員和文字 constructor.prototype 序列，因此可以使用陣列包裝的路徑區段（例如 [['constructor']、['keys']]）、透過建構函式靜態方法或從原始根繞過它，再次允許刪除共用內建原型上的屬性。

    CVE-2026-4800

        _.template 函式中的程式碼插入。不 CVE-2021-23337完整的修正：變數選項已驗證，但匯入選項索引鍵名稱未驗證。作為匯入金鑰名稱傳遞的不受信任輸入可能會插入預設參數運算式，這些運算式會在範本編譯時透過相同的 Function（） 建構函式接收執行任意程式碼。

    對於 Debian 12 書蟲，這些問題已在 +dfsg+~cs8.31.198.20210220-9+deb12u1 版本 4.17.21中修復。

    我們建議您升級 node-lodash 套件。

    有關 node-lodash 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/node-lodash

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian dla-4820 ： libjs-lodash - 安全性更新

high Nessus Plugin ID 362922

找不到變更記錄