{
"scope": "SupplyChain Scan joins two public sources at query time: vulnerability records from OSV (Google's Open Source Vulnerabilities database), matched to the exact package and version, and package records from the npm registry. A dependency with no listed vulnerabilities has no record in OSV for that exact version at query time - that is not a guarantee of safety, and results change as OSV updates. Severity is OSV's rating (CRITICAL / HIGH / MODERATE / LOW), reported with the CVSS vector; no runtime or reachability analysis is performed - whether the vulnerable code path is ever called is not checked. Private registries are not scanned.",
"results": [
{
"name": "lodash",
"version": "4.17.20",
"errors": [],
"package": {
"latestVersion": "4.18.1",
"versionCount": 117,
"license": "MIT",
"modified": "2026-11-09T00:39:03.555Z",
"deprecated": null
},
"vulnerable": true,
"vulnCount": 4,
"vulnTotal": 4,
"vulnReturned": 4,
"truncated": false,
"highestRating": "HIGH",
"vulns": [
{
"id": "GHSA-29mw-wpgm-hmr9",
"aliases": [
"CVE-2020-28500"
],
"summary": "Regular Expression Denial of Service (ReDoS) in lodash",
"rating": "MODERATE",
"ratingSource": "osv",
"cvss": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L",
"fixedVersions": [
"4.17.21"
],
"published": "2022-01-06T20:30:46Z",
"modified": "2025-09-29T21:12:31.102523Z"
},
{
"id": "GHSA-35jh-r3h4-6jhm",
"aliases": [
"CVE-2021-23337"
],
"summary": "Command Injection in lodash",
"rating": "HIGH",
"ratingSource": "osv",
"cvss": "CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H",
"fixedVersions": [
"4.17.21"
],
"published": "2021-05-06T16:05:51Z",
"modified": "2026-10-17T02:55:38.085813876Z"
},
{
"id": "GHSA-r5fr-rjxr-66jc",
"aliases": [
"CVE-2026-4800"
],
"summary": "lodash vulnerable to Code Injection via `_.template` imports key names",
"rating": "HIGH",
"ratingSource": "osv",
"cvss": "CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H",
"fixedVersions": [
"4.18.0"
],
"published": "2026-04-01T23:51:12Z",
"modified": "2026-10-17T02:56:15.633068434Z"
},
{
"id": "GHSA-xxjr-mmjv-4gpg",
"aliases": [
"CVE-2025-13465"
],
"summary": "Lodash has Prototype Pollution Vulnerability in `_.unset`, `_.omit`, and `_.pullAt` functions",
"rating": "MODERATE",
"ratingSource": "osv",
"cvss": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L",
"fixedVersions": [
"4.17.23",
"4.18.0"
],
"published": "2026-01-21T23:01:22Z",
"modified": "2026-11-04T03:15:10.832238351Z"
}
],
"fix": {
"suggestedVersion": "4.17.21",
"fixesAllListed": false,
"fullFixVersion": "4.18.0"
}
},
{
"name": "minimist",
"version": "1.2.5",
"errors": [],
"package": {
"latestVersion": "1.2.8",
"versionCount": 31,
"license": "MIT",
"modified": "2026-03-06T07:15:54.567Z",
"deprecated": null
},
"vulnerable": true,
"vulnCount": 1,
"vulnTotal": 1,
"vulnReturned": 1,
"truncated": false,
"highestRating": "CRITICAL",
"vulns": [
{
"id": "GHSA-xvch-5gv4-984h",
"aliases": [
"CVE-2021-44906"
],
"summary": "Prototype Pollution in minimist",
"rating": "CRITICAL",
"ratingSource": "osv",
"cvss": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H",
"fixedVersions": [
"1.2.6",
"0.2.4"
],
"published": "2022-03-18T00:01:09Z",
"modified": "2026-03-13T22:11:59.523514Z"
}
],
"fix": {
"suggestedVersion": "1.2.6",
"fixesAllListed": true,
"fullFixVersion": "1.2.6"
}
}
],
"summary": {
"total": 2,
"scanned": 2,
"errored": 0,
"withVulns": 2,
"noOsvRecord": 0,
"totalVulns": 5,
"byRating": {
"CRITICAL": 1,
"HIGH": 1,
"MODERATE": 0,
"LOW": 0,
"unrated": 0
},
"fixList": [
{
"name": "minimist",
"version": "1.2.5",
"highestRating": "CRITICAL",
"deprecated": false,
"suggestedVersion": "1.2.6",
"fullFixVersion": "1.2.6",
"vulnCount": 1
},
{
"name": "lodash",
"version": "4.17.20",
"highestRating": "HIGH",
"deprecated": false,
"suggestedVersion": "4.17.21",
"fullFixVersion": "4.18.0",
"vulnCount": 4
}
],
"deprecatedDataAvailable": true,
"deprecatedCount": 0
}
}
curl --location --request POST 'https://zylalabs.com/api/14804/supplychain+scan+api/38383/scan+dependencies' --header 'Authorization: Bearer YOUR_API_KEY'
--data-raw '{"dependencies": [{"name": "lodash", "version": "4.17.20"}, {"name": "minimist", "version": "1.2.5"}]}'
{
"ok": true,
"service": "SupplyChain Scan",
"version": 1
}
curl --location --request GET 'https://zylalabs.com/api/14804/supplychain+scan+api/38384/health+check' --header 'Authorization: Bearer YOUR_API_KEY'
Después de registrarte, a cada desarrollador se le asigna una clave de acceso a la API personal, una combinación única de letras y dígitos proporcionada para acceder a nuestro endpoint de la API. Para autenticarte con el Escáner de cadena de suministro API simplemente incluye tu token de portador en el encabezado de Autorización.
| Encabezado | Descripción |
|---|---|
Autorización
|
Requerido
Debería ser Bearer access_key. Consulta "Tu Clave de Acceso a la API" arriba cuando estés suscrito.
|
Sin compromiso a largo plazo. Mejora, reduce o cancela en cualquier momento.
API de escaneo de dependencias de npm: registros de vulnerabilidad de OSV y datos de registro de npm unidos por paquete y versión, con una lista de soluciones ordenadas por gravedad. Lote de hasta 100
No significa que OSV no tiene un registro para ese paquete y versión exacta en el momento de la consulta La cobertura de OSV es amplia pero es la cobertura que obtienes los registros se agregan con el tiempo Los resultados del escaneo son una instantánea no un certificado
Clasificación propia de OSV por registro (CRÍTICO / ALTO / MODERADO / BAJO) Los datos subyacentes llevan cadenas de vectores CVSS no puntajes numéricos por lo que esta API clasifica por nivel de calificación y te muestra el vector no inventa puntajes
Npm solo en esta versión — ambas fuentes unidas están vinculadas al registro de npm Los registros privados o autoalojados no se escanean
La forma en que un humano lo clasificaría: primero los paquetes que están tanto obsoletos como vulnerables, luego por la calificación de severidad más alta, luego por si hay una solución disponible en absoluto. Un paquete obsoleto sin vulnerabilidades se reporta en los conteos, no se incluye en la lista de soluciones
Nunca falla el escaneo Una entrada mal formada un nombre de paquete desconocido o un fallo upstream de una sola pierna regresa en su propio espacio de resultados marcado con la razón mientras que todas las demás dependencias se escanean normalmente