{
"scope": "SupplyChain Scan joins two public sources at query time: vulnerability records from OSV (Google's Open Source Vulnerabilities database), matched to the exact package and version, and package records from the npm registry. A dependency with no listed vulnerabilities has no record in OSV for that exact version at query time - that is not a guarantee of safety, and results change as OSV updates. Severity is OSV's rating (CRITICAL / HIGH / MODERATE / LOW), reported with the CVSS vector; no runtime or reachability analysis is performed - whether the vulnerable code path is ever called is not checked. Private registries are not scanned.",
"results": [
{
"name": "lodash",
"version": "4.17.20",
"errors": [],
"package": {
"latestVersion": "4.18.1",
"versionCount": 117,
"license": "MIT",
"modified": "2026-11-09T00:39:03.555Z",
"deprecated": null
},
"vulnerable": true,
"vulnCount": 4,
"vulnTotal": 4,
"vulnReturned": 4,
"truncated": false,
"highestRating": "HIGH",
"vulns": [
{
"id": "GHSA-29mw-wpgm-hmr9",
"aliases": [
"CVE-2020-28500"
],
"summary": "Regular Expression Denial of Service (ReDoS) in lodash",
"rating": "MODERATE",
"ratingSource": "osv",
"cvss": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L",
"fixedVersions": [
"4.17.21"
],
"published": "2022-01-06T20:30:46Z",
"modified": "2025-09-29T21:12:31.102523Z"
},
{
"id": "GHSA-35jh-r3h4-6jhm",
"aliases": [
"CVE-2021-23337"
],
"summary": "Command Injection in lodash",
"rating": "HIGH",
"ratingSource": "osv",
"cvss": "CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H",
"fixedVersions": [
"4.17.21"
],
"published": "2021-05-06T16:05:51Z",
"modified": "2026-10-17T02:55:38.085813876Z"
},
{
"id": "GHSA-r5fr-rjxr-66jc",
"aliases": [
"CVE-2026-4800"
],
"summary": "lodash vulnerable to Code Injection via `_.template` imports key names",
"rating": "HIGH",
"ratingSource": "osv",
"cvss": "CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H",
"fixedVersions": [
"4.18.0"
],
"published": "2026-04-01T23:51:12Z",
"modified": "2026-10-17T02:56:15.633068434Z"
},
{
"id": "GHSA-xxjr-mmjv-4gpg",
"aliases": [
"CVE-2025-13465"
],
"summary": "Lodash has Prototype Pollution Vulnerability in `_.unset`, `_.omit`, and `_.pullAt` functions",
"rating": "MODERATE",
"ratingSource": "osv",
"cvss": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L",
"fixedVersions": [
"4.17.23",
"4.18.0"
],
"published": "2026-01-21T23:01:22Z",
"modified": "2026-11-04T03:15:10.832238351Z"
}
],
"fix": {
"suggestedVersion": "4.17.21",
"fixesAllListed": false,
"fullFixVersion": "4.18.0"
}
},
{
"name": "minimist",
"version": "1.2.5",
"errors": [],
"package": {
"latestVersion": "1.2.8",
"versionCount": 31,
"license": "MIT",
"modified": "2026-03-06T07:15:54.567Z",
"deprecated": null
},
"vulnerable": true,
"vulnCount": 1,
"vulnTotal": 1,
"vulnReturned": 1,
"truncated": false,
"highestRating": "CRITICAL",
"vulns": [
{
"id": "GHSA-xvch-5gv4-984h",
"aliases": [
"CVE-2021-44906"
],
"summary": "Prototype Pollution in minimist",
"rating": "CRITICAL",
"ratingSource": "osv",
"cvss": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H",
"fixedVersions": [
"1.2.6",
"0.2.4"
],
"published": "2022-03-18T00:01:09Z",
"modified": "2026-03-13T22:11:59.523514Z"
}
],
"fix": {
"suggestedVersion": "1.2.6",
"fixesAllListed": true,
"fullFixVersion": "1.2.6"
}
}
],
"summary": {
"total": 2,
"scanned": 2,
"errored": 0,
"withVulns": 2,
"noOsvRecord": 0,
"totalVulns": 5,
"byRating": {
"CRITICAL": 1,
"HIGH": 1,
"MODERATE": 0,
"LOW": 0,
"unrated": 0
},
"fixList": [
{
"name": "minimist",
"version": "1.2.5",
"highestRating": "CRITICAL",
"deprecated": false,
"suggestedVersion": "1.2.6",
"fullFixVersion": "1.2.6",
"vulnCount": 1
},
{
"name": "lodash",
"version": "4.17.20",
"highestRating": "HIGH",
"deprecated": false,
"suggestedVersion": "4.17.21",
"fullFixVersion": "4.18.0",
"vulnCount": 4
}
],
"deprecatedDataAvailable": true,
"deprecatedCount": 0
}
}
curl --location --request POST 'https://zylalabs.com/api/14804/supplychain+scan+api/38383/scan+dependencies' --header 'Authorization: Bearer YOUR_API_KEY'
--data-raw '{"dependencies": [{"name": "lodash", "version": "4.17.20"}, {"name": "minimist", "version": "1.2.5"}]}'
{
"ok": true,
"service": "SupplyChain Scan",
"version": 1
}
curl --location --request GET 'https://zylalabs.com/api/14804/supplychain+scan+api/38384/health+check' --header 'Authorization: Bearer YOUR_API_KEY'
साइन अप करने के बाद, प्रत्येक डेवलपर को एक पर्सनल API एक्सेस की असाइन की जाती है, जो अक्षरों और अंकों का एक यूनिक संयोजन होता है, जिसका उपयोग हमारे API एंडपॉइंट तक पहुंचने के लिए किया जाता है। प्रमाणीकरण के लिए सप्लाईचेन स्कैन API के साथ बस अपने बेयरर टोकन को Authorization हेडर में शामिल करें।
| हेडर | विवरण |
|---|---|
Authorization
|
आवश्यक
होना चाहिए Bearer access_key. जब आप सब्सक्राइब हों तो ऊपर "Your API Access Key" देखें।
|
कोई लंबी अवधि की प्रतिबद्धता नहीं। कभी भी अपग्रेड, डाउनग्रेड या कैंसल करें।
नहीं इसका मतलब है कि OSV के पास उस सटीक पैकेज और संस्करण का कोई रिकॉर्ड नहीं है जब क्वेरी की गई थी OSV का कवरेज व्यापक है लेकिन यह वही कवरेज है जो आपको मिलता है रिकॉर्ड समय के साथ जोड़े जाते हैं स्कैन परिणाम एक स्नैपशॉट हैं प्रमाणपत्र नहीं
OSV का अपना रेटिंग प्रति रिकॉर्ड (CRITICAL / HIGH / MODERATE / LOW)। अंतर्निहित डेटा में CVSS वेक्टर स्ट्रिंग्स होती हैं न कि संख्यात्मक स्कोर इसलिए यह एपीआई रेटिंग स्तर के अनुसार रैंक करता है और आपको वेक्टर दिखाता है - यह अंक स्कोर का आविष्कार नहीं करता है
इस संस्करण में npm ही है - दोनों जुड़े हुए स्रोत npm रजिस्ट्री के लिए कीड किए गए हैं निजी या स्वयं-हॉस्टेड रजिस्ट्री को स्कैन नहीं किया जाता है
मानव जिस तरह से प्राथमिकता तय करेगा: पहले वो पैकेज जो दोनों पुराने और असुरक्षित हैं फिर उच्चतम गंभीरता रेटिंग के अनुसार फिर यह देखते हुए कि क्या कोई सुधार उपलब्ध है। एक पुराना पैकेज जिसमें कोई असुरक्षाएँ नहीं हैं उसे गिनती में रिपोर्ट किया जाता है लेकिन सुधार सूची में नहीं डाला जाता है
यह कभी भी स्कैन में विफल नहीं होता है एक गलत प्रारूप में प्रविष्टि एक अज्ञात पैकेज नाम या एक-पैर की अपस्ट्रीम विफलता अपने स्वयं के परिणाम स्लॉट में वापस आ जाती है कारण के साथ चिह्नित जबकि अन्य सभी निर्भरताएँ सामान्य रूप से स्कैन की जाती हैं