概要
JavaScript ユーティリティ ライブラリ Lodash の _.template 関数 に コードインジェクション の 脆弱性 が 存在 します。variable オプション 以外 の 経路 から 任意 コード が 注入 可能 です。Lodash は npm エコシステム で 非常 に 広く 利用 されている ため、依存 している プロジェクト への 影響 を 確認 する こと を 推奨 します。
CVSS ベクトル
| 項目 | 値 |
|---|---|
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 高 |
| 必要な特権レベル | 不要 |
| ユーザー関与 | 不要 |
| CWE | CWE-94（コードインジェクション） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| lodash | lodash | 影響バージョンは公式情報を確認 |
修正バージョンと回避策
_.templateに ユーザー 入力 を 直接 渡さない ように してくださいvariableオプション を 明示的 に 指定 する こと で リスク を 軽減 できます
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。