Correções de segurança para versões do Lodash que chegaram ao fim da vida útil (EOL) em suas aplicações JavaScript

Apenas nas versões mais recentes. Após quase cinco anos sem lançamentos, o Lodash retomou a manutenção em 2026 com financiamento da OpenJS Foundation, lançando as versões 4.17.23, 4.18.0 e 4.18.1. As correções são incorporadas apenas nessas versões mais recentes. As famílias 1.x, 2.x e 3.x, bem como qualquer versão fixada abaixo da 4.17.23, ainda não recebem patches do desenvolvedor original, e é nessa faixa que se concentra a maior parte da base instalada. O ELS continua emitindo correções de segurança para a versão exata do Lodash em que sua aplicação é executada.

Versões das famílias 1.x, 2.x, 3.x e 4.x, incluindo 1.3.1, 2.4.2, 3.2.0, 3.10.1, 4.5.0, 4.17.4 a 4.17.21 e 14.18.1. Outras versões estão disponíveis mediante solicitação.

Sim. O Lodash geralmente é incluído por meio de outra dependência, em vez de ser declarado diretamente; por isso, o ELS usa substituições do npm para forçar que todas as cópias aninhadas sejam resolvidas para a versão corrigida da TuxCare. A cobertura transitiva está incluída sem custo adicional — analise toda a sua árvore de dependências para identificar todas as versões afetadas.

Não. As correções são portadas para trás na sua versão atual, em vez de serem portadas para a frente; portanto, as assinaturas das funções e os valores de retorno permanecem inalterados. Os pacotes levam o sufixo -tuxcare.N e passam por testes de regressão antes do lançamento. Os testes de preparação normais continuam válidos.

Sim, para ambos. Você adiciona o registro da TuxCare ao arquivo .npmrc e cria um alias para @els-js/lodash; os fluxos de trabalho do npm, do Yarn e do pnpm continuam inalterados. Os documentos SBOM por versão e VEX do CycloneDX permitem que os scanners identifiquem quais CVEs já foram corrigidos na sua compilação.