根據應用程式自我報告的版本號，Lodash 的版本低於 4.18.0。因此，會受到多個弱點影響：

- _.template 函式中的程式碼插入弱點。新增至變數選項的驗證 CVE-2021-23337 未套用至 options.imports 索引鍵名稱，這些索引鍵名稱會傳遞至相同的 Function（） 建構函式接收器。能夠控制這些索引鍵名稱的攻擊者可以插入預設參數運算式，在範本編譯時執行任意程式碼。此外，繼承的屬性已合併到匯入中，允許受污染的 Object.prototype 金鑰到達接收器。（CVE-2026-4800）

- _.unset 和 _.omit 函式中的原型污染弱點。僅針對受保護的字串路徑段的 CVE-2025-13465 修復，攻擊者可以通過將路徑段包裝在陣列中來繞過它，從而允許從內置原型（例如 Object.prototype、Number.prototype 和 String.prototype）中刪除屬性。此問題允許刪除屬性，但不允許覆寫其原始行為。（CVE-2026-2950）

請注意，掃描器程式並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 IBM Cognos Analytics 版本在 12.0.4 FP3 之前 12.0.4 ，或 12.1.x 在 FP2 之前 12.1.3 。因此，它會受到 IBM 安全公告 No.
7287209:

  - NLTK 版本 3.9.2 和更早版本由於 StanfordSegmenter 模組中的輸入驗證不當而容易受到任意程式碼執行的影響。此模組會動態載入外部Java.jar檔案，而無需驗證或沙箱。攻擊者可以提供或取代 JAR 檔案，從而在匯入時執行任意 Java 位元組碼。（CVE-2026-0848）

  - lodash 修正，用於 CVE-2021-23337 新增 _.template 中變數選項的驗證，但未對 options.imports 索引鍵名稱套用相同的驗證。這兩個路徑都將匯入相同的 Function() 建構函式接收器。當應用程式將未受信任的輸入作為 options.imports 金鑰名稱傳遞時，攻擊者可插入用於在範本編譯時執行任意程式碼的預設參數運算式。
    (CVE-2026-4800)

  - cryptography 套件用於向 Python 開發人員公開密碼編譯原語和配方。
    從 45.0.0 到 以前 46.0.7，如果將不連續的緩衝區傳遞給接受 Python 緩衝區的 API（例如 Hash.update（）），這可能會導致緩衝區溢位。（CVE-2026-39892）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機安裝的套件會受到 dla-4663 公告中提及的多個弱點影響。

    - Debian----------------------------------------------------------------------- LTS 公告 DLA-4663-1 debian-lts@lists.debian.org Gupta 2026 https://www.debian.org/lts/security/Utkarsh 年 7 月 2 日 https://wiki.debian.org/LTS
    - -----------------------------------------------------------------------

    套件 ： node-lodash 版本 ： 4.17.21+dfsg+~cs8.31.173-1+deb11u1 CVE ID ： CVE-2025-13465 CVE-2026-2950 CVE-2026-4800 Debian 錯誤 ： 1126265

    在 node-lodash 中發現了多個漏洞，node-lodash 是一個為常見程式設計任務提供實用函數的Node.js模組。

    CVE-2025-13465

        _.unset 和 _.omit 函式中的原型污染。特製的屬性路徑可用來從內建原型 （例如 Object.prototype） 中刪除屬性，進而導致可用性和完整性問題。

    CVE-2026-2950

        CVE-2025-13465 的修正不完整。初始防護僅處理字串金鑰成員和文字 constructor.prototype 序列，因此可以使用陣列包裝的路徑區段（例如 [['constructor']、['keys']]）、透過建構函式靜態方法或從原始根繞過它，再次允許刪除共用內建原型上的屬性。

    CVE-2026-4800

        _.template 函式中的程式碼插入。不 CVE-2021-23337完整的修正：變數選項已驗證，但匯入選項索引鍵名稱未驗證。作為匯入金鑰名稱傳遞的不受信任輸入可能會插入預設參數運算式，這些運算式會在範本編譯時透過相同的 Function（） 建構函式接收執行任意程式碼。

    對於 Debian 11 bullseye，此問題已在 +dfsg+~cs8.31.173-1+deb11u1 版本 4.17.21中修復。

    我們建議您升級 node-lodash 套件。

    有關 node-lodash 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/node-lodash

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 影響：Lodash 版本 4.17.23 和更早版本容易受到 _.unset 和
    _.omit 函式。（CVE-2025-13465： https://github.com/lodash/lodash/security/advisories/GHSA-xxjr-mmjv-4gpg） 的修正僅防止字串金鑰成員，因此攻擊者可以透過傳遞陣列包裝的路徑區段來繞過檢查。這允許從內建原型（例如 Object.prototype、Number.prototype 和 String.prototype）中刪除屬性。此問題允許刪除原型屬性，但不允許覆寫其原始行為。修補程式：此問題已在 4.18.0中修補。因應措施：無。升級至已修補的版本。（CVE-2026-2950）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

遠端主機上安裝的 IBM WebSphere eXtreme Scale 版本低於 8.6.2.2 IBM。因此，它會受到7282872公告中提及的多個弱點的影響。

  - 4.17.21 之前的 Lodash 版本容易受到透過範本函式執行的命令插入攻擊。
    (CVE-2021-23337)

  - 影響：CVE-2021-23337 (https://github.com/advisories/GHSA-35jh-r3h4-6jhm) 的修正針對 _.template 中的變數選項新增了驗證，但並未套用相同的驗證至 options.imports 金鑰名稱。
    這兩個路徑都將匯入相同的 Function() 建構函式接收器。當應用程式將未受信任的輸入作為 options.imports 金鑰名稱傳遞時，攻擊者可插入用於在範本編譯時執行任意程式碼的預設參數運算式。此外，_.template 使用 assignInWith 來合併匯入，此舉可列舉透過 for..in 繼承的內容。如果 Object.prototype 受到任何其他向量污染，系統會將受污染的金鑰複製到匯入物件中，並傳遞至 Function()。修補程式：使用者應升級至 4.18.0 版。因應措施：不將未受信任的輸入作為 options.imports 中的金鑰名稱傳遞。僅使用由開發人員控制的靜態金鑰名稱。(CVE-2026-4800)

  - 影響：Lodash 版本 4.17.23 和更早版本容易受到 _.unset 和
    _.omit 函式。（CVE-2025-13465： https://github.com/lodash/lodash/security/advisories/GHSA-xxjr-mmjv-4gpg） 的修正僅防止字串金鑰成員，因此攻擊者可以透過傳遞陣列包裝的路徑區段來繞過檢查。這允許從內建原型（例如 Object.prototype、Number.prototype 和 String.prototype）中刪除屬性。此問題允許刪除原型屬性，但不允許覆寫其原始行為。修補程式：此問題已在 4.18.0中修補。因應措施：無。升級至已修補的版本。（CVE-2026-2950）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Ubuntu 16.04 LTS / LTS / 18.0420.04 LTS / 22.04 LTS 24.04 / LTS / 25.1026.04 LTS / LTS 主機已安裝套件，這些套件會受到公告中 USN-8411-1 提及的多個弱點影響。

    據發現，Lodash 容易受到 zipObjectDeep 函式原型污染問題的影響。
    攻擊者可能會利用此問題來修改應用程式行為。此問題僅影響 Ubuntu 18.04 LTS 和 Ubuntu 20.04 LTS。(CVE-2020-8203)

    Liyuan Chen 發現 Lodash 在 toNumber、trim 和 trimEnd 函式中容易受到規則運算式拒絕服務問題的攻擊。攻擊者可能會利用此問題耗用過多的系統資源，進而造成拒絕服務。此問題僅影響 Ubuntu 18.04 LTS 和 Ubuntu 20.04 LTS。(CVE-2020-28500)

    Marc Hassan 發現 Lodash 未正確清理範本函式的輸入。攻擊者可能會利用此問題插入和執行任意命令。此問題只會影響 Ubuntu 16.04 LTS、Ubuntu 18.04 LTS 和 Ubuntu 20.04 LTS。(CVE-2021-23337)

    據發現，Lodash 在未設置和省略功能中容易受到原型污染問題的影響。攻擊者可能會利用此問題從全域原型中刪除屬性，導致繞過安全性限制。此問題只影響 Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS 和 Ubuntu 25.10。(CVE-2025-13465)

    據發現，Lodash 在未設置和省略功能中容易受到原型污染問題的影響。攻擊者可能會利用此問題從內建原型中刪除屬性，導致繞過安全性限制。此問題僅影響 Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS、Ubuntu 25.10和 Ubuntu 26.04 LTS。（CVE-2026-2950）

    據發現，Lodash 未正確驗證範本函式的某些輸入。攻擊者可能會利用此問題在範本處理期間插入惡意程式碼，導致任意程式碼執行。（CVE-2026-4800）

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機已安裝的套件會受到 dla-4820 公告中提及的多個弱點影響。

    - ----------------------------------------------------------------------- Debian LTS 公告 DLA-4820-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Utkarsh Gupta 2026 年 10 月 5 日 https://wiki.debian.org/LTS
    - -----------------------------------------------------------------------

    套件 ： node-lodash 版本 ： 4.17.21+dfsg+~cs8.31.198.20210220-9+deb12u1 CVE ID ： CVE-2025-13465 CVE-2026-2950 CVE-2026-4800 Debian 錯誤 ： 1126265

    在 node-lodash 中發現了多個漏洞，node-lodash 是一個為常見程式設計任務提供實用函數的Node.js模組。

    CVE-2025-13465

        _.unset 和 _.omit 函式中的原型污染。特製的屬性路徑可用來從內建原型 （例如 Object.prototype） 中刪除屬性，進而導致可用性和完整性問題。

    CVE-2026-2950

        CVE-2025-13465 的修正不完整。初始防護僅處理字串金鑰成員和文字 constructor.prototype 序列，因此可以使用陣列包裝的路徑區段（例如 [['constructor']、['keys']]）、透過建構函式靜態方法或從原始根繞過它，再次允許刪除共用內建原型上的屬性。

    CVE-2026-4800

        _.template 函式中的程式碼插入。不 CVE-2021-23337完整的修正：變數選項已驗證，但匯入選項索引鍵名稱未驗證。作為匯入金鑰名稱傳遞的不受信任輸入可能會插入預設參數運算式，這些運算式會在範本編譯時透過相同的 Function（） 建構函式接收執行任意程式碼。

    對於 Debian 12 書蟲，這些問題已在 +dfsg+~cs8.31.198.20210220-9+deb12u1 版本 4.17.21中修復。

    我們建議您升級 node-lodash 套件。

    有關 node-lodash 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/node-lodash

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
115562	Lodash < 4.18.0 多個弱點	Web App Scanning	Component Vulnerability	2026/10/2	2026/10/2	critical
347960	IBM Cognos Analytics 12.0.4 < 12.0.4 FP3 / 12.1.x < 12.1.3 FP2 多個弱點（7287209）	Nessus	CGI abuses	2026/9/18	2026/9/21	high
324594	Debian dla-4663 ： libjs-lodash - 安全性更新	Nessus	Debian Local Security Checks	2026/7/1	2026/7/1	high
304822	Linux Distros 未修補的弱點：CVE-2026-2950	Nessus	Misc.	2026/4/4	2026/10/5	medium
333386	IBM WebSphere eXtreme Scale < 8.6.2.08.6.2.2 （7282872）	Nessus	Web Servers	2026/8/8	2026/8/8	high
320407	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / / LTS ： 25.1026.04 Lodash 漏洞（USN-8411-1）	Nessus	Ubuntu Local Security Checks	2026/6/11	2026/6/11	high
362922	Debian dla-4820 ： libjs-lodash - 安全性更新	Nessus	Debian Local Security Checks	2026/10/5	2026/10/5	high

偵測

搜尋 Plugin

critical

high

high

medium

high

high

high