根据其自我报告的版本号，Lodash 的版本为 4.18.0 之前的版本。因此，该应用程序受到多个漏洞的影响：

- _.template 函数中有一个代码注入漏洞。针对 CVE-2021-23337 变量选项添加的验证未应用到传递到同一个 Function（） 构造函数接收器的 options.imports 密钥名。能够控制这些密钥名的攻击者可能会注入默认参数表达式，从而在模板编译时执行任意代码。此外，继承的属性被合并到导入中，从而允许受到污染的 Object.prototype 密钥到达接收器。（CVE-2026-4800）

- _.unset 和 _.omit 函数中的原型污染漏洞。仅针对受保护的字符串路径段的 CVE-2025-13465 补丁，攻击者可以通过在数组中封装路径段来绕过它，从而允许删除内置原型的属性，例如 Object.prototype、Number.prototype 和 String.prototype。此问题允许删除属性，但不允许覆盖其原始行为。（CVE-2026-2950）

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

远程主机上安装的 IBM Cognos Analytics 版本低于 12.0.412.0.4 FP3 或12.1.x12.1.3低于 FP2。因此，如 IBM 安全公告 No.
7287209:

  - NLTK 版本 3.9.2 和之前版本容易遭受任意代码执行的攻击，原因是 StanfordSegmenter 模块中错误的输入验证。该模块动态加载外部 Java .jar文件，无需验证或沙盒化。攻击者可提供或替换 JAR 文件，从而在导入时执行任意 Java 字节码。（CVE-2026-0848）

  - lodash CVE-2021-23337 补丁添加了对 _.template 中变量选项的验证，但未对 options.imports 密钥名应用相同的验证。两个路径都流入同一个 Function() 构造函数接收器。应用程序传递不受信任的输入作为 options.imports 密钥名称时，攻击者可注入默认参数表达式，在模板编译时执行任意代码。
    (CVE-2026-4800)

  - cryptography 程序包旨在为 Python 开发人员提供加密基元和方法。
    从 45.0.0 之前到 46.0.7之前，如果将非连续缓冲区传递到接受 Python 缓冲区的 API（例如 Hash.update（）），这可导致缓冲区溢出。（CVE-2026-39892）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 16.04 LTS / LTS / 18.0420.04 LTS / 22.04 LTS / LTS 24.04 / / LTS 25.1026.04 主机上存在安装的程序包，该程序包受到公告中提及的 USN-8411-1 多个漏洞的影响。

    已发现 Lodash 容易受到 zipObjectDeep 函数中原型污染问题的影响。
    攻击者可能利用此问题修改应用程序行为。此问题仅影响 Ubuntu 18.04 LTS 和 Ubuntu 20.04 LTS。(CVE-2020-8203)

    Liyuan Chen 发现 Lodash 容易受到 toNumber、trim 和 trimEnd 函数中的正则表达式拒绝服务问题的影响。攻击者可能利用此问题消耗过多系统资源，从而导致拒绝服务。此问题仅影响 Ubuntu 18.04 LTS 和 Ubuntu 20.04 LTS。(CVE-2020-28500)

    Marc Hassan 发现 Lodash 未正确审查模板函数的输入。攻击者可能利用此问题注入并执行任意命令。此问题只影响 Ubuntu 16.04 LTS、Ubuntu 18.04 LTS 和 Ubuntu 20.04 LTS。(CVE-2021-23337)

    已发现 Lodash 容易受到 unset 与 omit 函数中原型污染问题的影响。攻击者可能利用此问题删除全局原型中的属性，从而绕过安全限制。此问题仅影响 Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS 和 Ubuntu 25.10。(CVE-2025-13465)

    已发现 Lodash 容易受到 unset 与 omit 函数中原型污染问题的影响。攻击者可能利用此问题从内置原型中删除属性，从而绕过安全限制。此问题仅影响 Ubuntu 18.04 LTS、Ubuntu LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS、Ubuntu 25.10和 Ubuntu 26.04 LTS。（CVE-2026-2950）

    已发现 Lodash 未正确验证模板函数的某些输入。攻击者可能利用此问题在模板处理期间注入恶意代码，从而导致任意代码执行。（CVE-2026-4800）

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上存在安装的程序包，该程序包受到 DLA-4820 公告中提及的多个漏洞的影响。

    - ----------------------------------------------------------------------- Debian LTS 公告 DLA-4820-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Utkarsh Gupta 2026 年 10 月 5 日 https://wiki.debian.org/LTS
    - -----------------------------------------------------------------------

    程序包：node-lodash 版本：+ 4.17.21dfsg+~cs8.31.198.20210220-9+deb12u1 CVE ID： CVE-2025-13465 CVE-2026-2950 CVE-2026-4800 Debian 缺陷：1126265

    在 node-lodash 中发现多个漏洞，node-lodash 是一个为一般编程任务提供实用工具函数的Node.js模块。

    CVE-2025-13465

        _.unset 和 _.omit 函数中的污染原型。可利用构建的属性路径从内置原型（例如 Object.prototype）中删除属性，从而导致可用性和完整性问题。

    CVE-2026-2950

        针对 CVE-2025-13465 的修复不完整。初始防护仅处理字符串密钥成员和文本 constructor.prototype 序列，因此可以使用数组封装的路径段（例如 [['constructor']、['keys']]）、通过构造函数静态方法或从原始根绕过它，同样允许删除共享内置原型上的属性。

    CVE-2026-4800

        _.template 函数中的代码注入。针对以下漏洞的不 CVE-2021-23337完整修复：已验证变量选项，但未验证导入选项密钥名称。作为导入密钥名称传递的不受信任的输入可通过同一个 Function（） 构造函数接收器注入默认参数表达式，从而在模板编译时执行任意代码。

    对于 Debian 12 bookworm，这些问题已在 +dfsg+~cs8.31.198.20210220-9+deb12u1 版本 4.17.21中修复。

    建议您升级 node-lodash 程序包。

    有关 node-lodash 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/node-lodash

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 影响：Lodash 及更旧版本 4.17.23 容易受到 _.unset 和
    _.omit 函数。针对 （CVE-2025-13465： https://github.com/lodash/lodash/security/advisories/GHSA-xxjr-mmjv-4gpg） 的补丁仅防范字符串密钥成员，因此攻击者可通过传递数组封装的路径段来绕过检查。这允许删除内置原型（例如 Object.prototype、Number.prototype 和 String.prototype）中的属性。此问题允许删除原型属性，但不允许覆盖其原始行为。修补程序： 此问题已在 4.18.0中修复。变通方案：无。升级到修补版本。（CVE-2026-2950）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Debian 11 主机上存在安装的程序包，该程序包受到 DLA-4663 公告中提及的多个漏洞的影响。

    - ----------------------------------------------------------------------- Debian LTS 公告 DLA-4663-1 debian-lts@lists.debian.org Gupta 2026 https://www.debian.org/lts/security/Utkarsh 年 7 月 2 日 https://wiki.debian.org/LTS
    - -----------------------------------------------------------------------

    程序包：node-lodash 版本：+ 4.17.21dfsg+~cs8.31.173-1+deb11u1 CVE ID： CVE-2025-13465 CVE-2026-2950 CVE-2026-4800 Debian 缺陷：1126265

    在 node-lodash 中发现多个漏洞，node-lodash 是一个为一般编程任务提供实用工具函数的Node.js模块。

    CVE-2025-13465

        _.unset 和 _.omit 函数中的污染原型。可利用构建的属性路径从内置原型（例如 Object.prototype）中删除属性，从而导致可用性和完整性问题。

    CVE-2026-2950

        针对 CVE-2025-13465 的修复不完整。初始防护仅处理字符串密钥成员和文本 constructor.prototype 序列，因此可以使用数组封装的路径段（例如 [['constructor']、['keys']]）、通过构造函数静态方法或从原始根绕过它，同样允许删除共享内置原型上的属性。

    CVE-2026-4800

        _.template 函数中的代码注入。针对以下漏洞的不 CVE-2021-23337完整修复：已验证变量选项，但未验证导入选项密钥名称。作为导入密钥名称传递的不受信任的输入可通过同一个 Function（） 构造函数接收器注入默认参数表达式，从而在模板编译时执行任意代码。

    对于 Debian 11 bullseye，已在版本 +dfsg+~cs8.31.173-1+deb11u1 中 4.17.21修复此问题。

    建议您升级 node-lodash 程序包。

    有关 node-lodash 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/node-lodash

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 IBM WebSphere eXtreme Scale 版本低于 8.6.2.2 IBM。因此，如7282872公告所述，受到多个漏洞的影响。

  - 4.17.21 之前的 Lodash 版本容易通过模板函数受到命令注入的攻击。
    (CVE-2021-23337)

  - 影响：针对 CVE-2021-23337 的补丁 (https://github.com/advisories/GHSA-35jh-r3h4-6jhm) 添加了对 _.template 中的变量选项的验证，但不会对 options.imports 密钥名称应用相同的验证。
    两个路径都流入同一个 Function() 构造函数接收器。应用程序传递不受信任的输入作为 options.imports 密钥名称时，攻击者可注入默认参数表达式，在模板编译时执行任意代码。此外，_.template 使用 assignInWith 合并导入，这会通过 for..in 枚举继承的属性。如果 Object.prototype 已被任何其他向量污染，被污染的密钥被复制到导入对象中，并传递给 Function()。用户应升级到修补后的 4.18.0 版本。变通方案：不将不受信任的输入作为 options.imports 中的密钥名称传递。仅使用开发人员控制的静态密钥名称。(CVE-2026-4800)

  - 影响：Lodash 及更旧版本 4.17.23 容易受到 _.unset 和
    _.omit 函数。针对 （CVE-2025-13465： https://github.com/lodash/lodash/security/advisories/GHSA-xxjr-mmjv-4gpg） 的补丁仅防范字符串密钥成员，因此攻击者可通过传递数组封装的路径段来绕过检查。这允许删除内置原型（例如 Object.prototype、Number.prototype 和 String.prototype）中的属性。此问题允许删除原型属性，但不允许覆盖其原始行为。修补程序： 此问题已在 4.18.0中修复。变通方案：无。升级到修补版本。（CVE-2026-2950）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
115562	Lodash < 4.18.0 多个漏洞	Web App Scanning	Component Vulnerability	2026/10/2	2026/10/2	critical
347960	IBM Cognos Analytics 12.0.4 < 12.0.4 FP3 / 12.1.x < 12.1.3 FP2 多种漏洞（7287209）	Nessus	CGI abuses	2026/9/18	2026/9/21	high
320407	Ubuntu 16.04 LTS / LTS / 18.0420.04 LTS / 22.04 LTS 24.04 / LTS / 25.10 / 26.04 LTS：Lodash 漏洞（USN-8411-1）	Nessus	Ubuntu Local Security Checks	2026/6/11	2026/6/11	high
362922	Debian DLA-4820：libjs-lodash - 安全更新	Nessus	Debian Local Security Checks	2026/10/5	2026/10/5	high
304822	Linux Distros 未修补的漏洞：CVE-2026-2950	Nessus	Misc.	2026/4/4	2026/10/5	medium
324594	Debian DLA-4663：libjs-lodash - 安全更新	Nessus	Debian Local Security Checks	2026/7/1	2026/7/1	high
333386	IBM WebSphere eXtreme Scale < 8.6.2.08.6.2.2 （7282872）	Nessus	Web Servers	2026/8/8	2026/8/8	high

检测

插件搜索

critical

high

high

high

medium

high

high