CVE-2018-3721

mediumPriorität · verfolgen · 27EPSS 0.023 · 84. PerzentilEUUS

grimoire priorityP3 · Track

Exploitable?

—

no known exploitation

Likely / severe?

2.35% (84th) EPSS

CVSS 4 · medium

Is it mine?

6 products

Prüfe deine Angriffsfläche

Who says so?

4 sources

cnnvd · enisa_euvd · nvd · osv

EPSS · bewertet 2026-10-22

lodash node module before 4.17.5 suffers from a Modification of Assumed-Immutable Data (MAID) vulnerability via defaultsDeep, merge, and mergeWith functions, which allows a malicious user to modify the prototype of "Object" via __proto__, causing the addition or modification of an existing property that will exist on all objects.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

6.5

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v2.04mediumAV:N/AC:L/Au:S/C:N/I:P/A:Nprimary · NVD / NIST USAusnutzbarkeit 8 · Auswirkung 2.9

v3.16.5mediumCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:Nprimary · NVD / NIST USAusnutzbarkeit 2.8 · Auswirkung 3.6

v3.16.5mediumCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:Nsecondary · OSV

v3.16mediumCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N/E:Usecondary · CVSS-BT (t0sche)

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-1321USprimärCWE-1321USCWE-471USCWE-471US

betroffene Produkte (6)

Betroffene Produkte und Versionsbereiche.

HackerOne lodash node module≤ Versions before 4.17.5enisa_euvdEU
lodash lodash< 4.17.5nvdUScpe:2.3:a:lodash:lodash:*:*:*:*:*:*:*:*
netapp active iq unified manageralle VersionennvdUScpe:2.3:a:netapp:active_iq_unified_manager:*:*:*:*:*:*:*:*
netapp system manager= 9.0nvdUScpe:2.3:a:netapp:system_manager:*:*:*:*:*:*:*:*
RubyGems lodash-rails< 4.17.5osvUSpkg:gem/lodash-rails
npm lodash< 4.17.5osvUSpkg:npm/lodash

Advisories (1)

Hersteller- und Ökosystem-Meldungen dazu.

GHSA-fvqr-27wr-82fmPrototype Pollution in lodash2018-07-26ghsa · osvUS
Versions of `lodash` before 4.17.5 are vulnerable to prototype pollution. The vulnerable functions are 'defaultsDeep', 'merge', and 'mergeWith' which allow a malicious user to modify the prototype of `Object` via `__proto__` causing the addition or modification of an existing property that will exist on all objects. ## Recommendation Update to version 4.17.5 or later.

auch bekannt als (3)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd nvd osv NVD CVE.org MITRE

veröffentlicht 2018-06-07geändert 2026-06-17

verwandt (707)

Verwandte Einträge.

ID	Schweregrad	EPSS	ausnutzbar	veröffentlicht
CVE-2026-34621US	—OT kritisch	2.18% (82nd)	KEV	2026-04-11
Acrobat Reader versions 24.001.30356, 26.001.21367 and earlier are affected by an Improperly Controlled Modification of Object Prototype Attributes ('Prototype Pollution') vulnerab…
CVE-2019-0230US	critical9.8	96.9% (100th)	Exploit	2020-09-14
Apache Struts 2.0.0 to 2.5.20 forced double OGNL evaluation, when evaluated on raw user input in tag attributes, may lead to remote code execution.
CVE-2022-24760US	critical10.0	49.1% (99th)	Exploit	2022-03-12
Parse Server is an open source http web server backend. In versions prior to 4.10.7 there is a Remote Code Execution (RCE) vulnerability in Parse Server. This vulnerability affects…
CVE-2019-11358US	medium6.1	86.8% (100th)	Exploit	2019-04-20
jQuery before 3.4.0, as used in Drupal, Backdrop CMS, and other products, mishandles jQuery.extend(true, {}, ...) because of Object.prototype pollution. If an unsanitized source ob…
CVE-2020-7774US	critical9.8	69.4% (99th)	—	2020-11-17
The package y18n before 3.2.2, 4.0.1 and 5.0.5, is vulnerable to Prototype Pollution.

+702 weitere

Referenzen (19)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan