Parches de seguridad para las versiones de Lodash que han llegado al final de su ciclo de vida en tus aplicaciones JavaScript

Solo en la punta. Tras casi cinco años sin lanzamientos, Lodash reanudó su mantenimiento en 2026 gracias a la financiación de la OpenJS Foundation, lanzando las versiones 4.17.23, 4.18.0 y 4.18.1. Las correcciones solo se incorporan en esas versiones más recientes. Las familias 1.x, 2.x y 3.x, así como cualquier versión fijada por debajo de la 4.17.23, siguen sin recibir parches del desarrollador original, y es ahí donde se encuentra la mayor parte de la base instalada. ELS sigue publicando correcciones de seguridad para la versión exacta de Lodash que ejecuta tu aplicación.

Versiones de las familias 1.x, 2.x, 3.x y 4.x, incluidas las versiones 1.3.1, 2.4.2, 3.2.0, 3.10.1, 4.5.0, desde la 4.17.4 hasta la 4.17.21 y la 14.18.1. Hay otras versiones disponibles previa solicitud.

Sí. Lodash suele incorporarse a través de otra biblioteca en lugar de declararse directamente, por lo que ELS utiliza las sustituciones de npm para garantizar que todas las copias anidadas se resuelvan con la versión parcheada de TuxCare. La cobertura transitiva se incluye sin coste adicional: revisa tu árbol completo de dependencias para detectar todas las versiones afectadas.

No. Las correcciones se retroaplican a tu versión actual en lugar de aplicarse a versiones futuras, por lo que las firmas de las funciones y los valores de retorno permanecen inalterados. Los paquetes llevan el sufijo -tuxcare.N y se someten a pruebas de regresión antes de su lanzamiento. Se siguen aplicando las pruebas habituales de la fase de preparación.

Sí, ambas cosas. Se añade el registro de TuxCare al archivo .npmrc y se crea un alias para @els-js/lodash; los flujos de trabajo de npm, Yarn y pnpm siguen sin cambios. Los documentos SBOM por versión y VEX de CycloneDX permiten a los escáneres ver qué CVE ya se han corregido en tu compilación.