CVE-2019-10744 – Prototype Pollution in lodash

CVE-2019-10744 descrive una vulnerabilità di Prototype Pollution nelle versioni di lodash inferiori a 4.17.12. La funzione defaultsDeep può essere ingannata per aggiungere o modificare proprietà di Object.prototype usando un payload constructor, compromettendo il comportamento di tutte le istanze di oggetti JavaScript nell'applicazione. Colpisce direttamente le applicazioni JavaScript che dipendono da lodash.

Il CVSS è 9,1 (critical). La vulnerabilità è stata resa pubblica il 26 luglio 2019 da NVD. La patch è disponibile dalla versione 4.17.12. Analisi tecnica della vulnerabilità è stata documentata nel novembre 2026, confermando l'interesse continuo della ricerca su questa vulnerabilità.

Difesa immediata: verificare lodash in dipendenze dirette e transitive. Aggiornare a 4.17.12 o superiore in tutti gli ambienti. Controllare la build history e i deployment per tracce di Prototype Pollution. Implementare controlli di integrità su Object.prototype durante la validazione dei dati in ingresso; monitorare accessi anomali a proprietà ereditate.