{
"scope": "SupplyChain Scan joins two public sources at query time: vulnerability records from OSV (Google's Open Source Vulnerabilities database), matched to the exact package and version, and package records from the npm registry. A dependency with no listed vulnerabilities has no record in OSV for that exact version at query time - that is not a guarantee of safety, and results change as OSV updates. Severity is OSV's rating (CRITICAL / HIGH / MODERATE / LOW), reported with the CVSS vector; no runtime or reachability analysis is performed - whether the vulnerable code path is ever called is not checked. Private registries are not scanned.",
"results": [
{
"name": "lodash",
"version": "4.17.20",
"errors": [],
"package": {
"latestVersion": "4.18.1",
"versionCount": 117,
"license": "MIT",
"modified": "2026-11-09T00:39:03.555Z",
"deprecated": null
},
"vulnerable": true,
"vulnCount": 4,
"vulnTotal": 4,
"vulnReturned": 4,
"truncated": false,
"highestRating": "HIGH",
"vulns": [
{
"id": "GHSA-29mw-wpgm-hmr9",
"aliases": [
"CVE-2020-28500"
],
"summary": "Regular Expression Denial of Service (ReDoS) in lodash",
"rating": "MODERATE",
"ratingSource": "osv",
"cvss": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L",
"fixedVersions": [
"4.17.21"
],
"published": "2022-01-06T20:30:46Z",
"modified": "2025-09-29T21:12:31.102523Z"
},
{
"id": "GHSA-35jh-r3h4-6jhm",
"aliases": [
"CVE-2021-23337"
],
"summary": "Command Injection in lodash",
"rating": "HIGH",
"ratingSource": "osv",
"cvss": "CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H",
"fixedVersions": [
"4.17.21"
],
"published": "2021-05-06T16:05:51Z",
"modified": "2026-10-17T02:55:38.085813876Z"
},
{
"id": "GHSA-r5fr-rjxr-66jc",
"aliases": [
"CVE-2026-4800"
],
"summary": "lodash vulnerable to Code Injection via `_.template` imports key names",
"rating": "HIGH",
"ratingSource": "osv",
"cvss": "CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H",
"fixedVersions": [
"4.18.0"
],
"published": "2026-04-01T23:51:12Z",
"modified": "2026-10-17T02:56:15.633068434Z"
},
{
"id": "GHSA-xxjr-mmjv-4gpg",
"aliases": [
"CVE-2025-13465"
],
"summary": "Lodash has Prototype Pollution Vulnerability in `_.unset`, `_.omit`, and `_.pullAt` functions",
"rating": "MODERATE",
"ratingSource": "osv",
"cvss": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L",
"fixedVersions": [
"4.17.23",
"4.18.0"
],
"published": "2026-01-21T23:01:22Z",
"modified": "2026-11-04T03:15:10.832238351Z"
}
],
"fix": {
"suggestedVersion": "4.17.21",
"fixesAllListed": false,
"fullFixVersion": "4.18.0"
}
},
{
"name": "minimist",
"version": "1.2.5",
"errors": [],
"package": {
"latestVersion": "1.2.8",
"versionCount": 31,
"license": "MIT",
"modified": "2026-03-06T07:15:54.567Z",
"deprecated": null
},
"vulnerable": true,
"vulnCount": 1,
"vulnTotal": 1,
"vulnReturned": 1,
"truncated": false,
"highestRating": "CRITICAL",
"vulns": [
{
"id": "GHSA-xvch-5gv4-984h",
"aliases": [
"CVE-2021-44906"
],
"summary": "Prototype Pollution in minimist",
"rating": "CRITICAL",
"ratingSource": "osv",
"cvss": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H",
"fixedVersions": [
"1.2.6",
"0.2.4"
],
"published": "2022-03-18T00:01:09Z",
"modified": "2026-03-13T22:11:59.523514Z"
}
],
"fix": {
"suggestedVersion": "1.2.6",
"fixesAllListed": true,
"fullFixVersion": "1.2.6"
}
}
],
"summary": {
"total": 2,
"scanned": 2,
"errored": 0,
"withVulns": 2,
"noOsvRecord": 0,
"totalVulns": 5,
"byRating": {
"CRITICAL": 1,
"HIGH": 1,
"MODERATE": 0,
"LOW": 0,
"unrated": 0
},
"fixList": [
{
"name": "minimist",
"version": "1.2.5",
"highestRating": "CRITICAL",
"deprecated": false,
"suggestedVersion": "1.2.6",
"fullFixVersion": "1.2.6",
"vulnCount": 1
},
{
"name": "lodash",
"version": "4.17.20",
"highestRating": "HIGH",
"deprecated": false,
"suggestedVersion": "4.17.21",
"fullFixVersion": "4.18.0",
"vulnCount": 4
}
],
"deprecatedDataAvailable": true,
"deprecatedCount": 0
}
}
curl --location --request POST 'https://zylalabs.com/api/14804/supplychain+scan+api/38383/scan+dependencies' --header 'Authorization: Bearer YOUR_API_KEY'
--data-raw '{"dependencies": [{"name": "lodash", "version": "4.17.20"}, {"name": "minimist", "version": "1.2.5"}]}'
{
"ok": true,
"service": "SupplyChain Scan",
"version": 1
}
curl --location --request GET 'https://zylalabs.com/api/14804/supplychain+scan+api/38384/health+check' --header 'Authorization: Bearer YOUR_API_KEY'
Após se cadastrar, cada desenvolvedor recebe uma chave de acesso à API pessoal, uma combinação única de letras e dígitos para acessar nosso endpoint de API. Para autenticar com a Scan de Cadeia de Suprimentos API basta incluir seu token Bearer no cabeçalho Authorization.
| Cabeçalho | Descrição |
|---|---|
Authorization
|
Obrigatório
Deve ser Bearer access_key. Veja "Sua chave de acesso à API" acima quando você estiver inscrito.
|
Sem compromisso de longo prazo. Faça upgrade, downgrade ou cancele a qualquer momento.
API de digitalização de dependências npm: registros de vulnerabilidades OSV e dados do registro npm agrupados por pacote e versão, com uma lista de correções classificados por severidade. Lote de até 100
Não Isso significa que o OSV não tem registro para esse pacote e versão exatos no momento da consulta A cobertura do OSV é ampla mas é essa cobertura que você recebe os registros são adicionados ao longo do tempo Os resultados da varredura são um instantâneo não um certificado
Classificação própria da OSV por registro (CRÍTICA / ALTA / MODERADA / BAIXA) Os dados subjacentes carregam strings de vetor CVSS, não pontuações numéricas, então esta API classifica por nível de classificação e mostra você o vetor - não inventa pontuações
Npm apenas nesta versão — ambas as fontes unidas estão vinculadas ao registro npm. Registros privados ou auto-hospedados não são digitalizados
A maneira como um humano faria a triagem: pacotes que são tanto obsoletos quanto vulneráveis primeiro, depois pela maior gravidade, e por último, se há uma correção disponível. Um pacote obsoleto sem vulnerabilidades é contado, não é incluído na lista de correções
Nunca falha o escaneamento Uma entrada malformada um nome de pacote desconhecido ou uma falha de upstream de uma perna voltam para sua própria slot de resultado marcada com a razão enquanto todas as outras dependências são escaneadas normalmente