Lodash обновился впервые за 10 лет: что нового в версии 2026

hannadev

Lodash - это легендарная JS-библиотека для работы с массивами, объектами и строками. После долгого затишья вышла крупная версия в 2026 году, с фокусом на безопасность и современные стандарты. Это важно для всех, кто использует Lodash в продакшене - теперь можно обновляться без риска уязвимостей.

Обновление решает проблемы прототипного загрязнения, ReDoS-атак и командной инъекции. Оно восстановит CI/CD, добавит поддержку новых рантаймов и упростит миграцию. Зачем это нужно? Чтобы избежать дыр в безопасности и ускорить разработку с актуальными инструментами.

Восстановление инфраструктуры и CI/CD

Команда Lodash провела масштабную работу над инфраструктурой. Восстановили CI/CD пайплайны, которые годами не работали стабильно. Теперь тесты проходят на всех поддерживаемых версиях Node.js, включая новые рантаймы вроде Bun. Это значит, что релизы выходят предсказуемо, а разработчики получают надежные обновления.

Добавили современный браузерный тестинг на базе Playwright с четкой матрицей совместимости. Убрали устаревшие конфиги и документацию. Такой подход позволяет быстро фиксить баги и добавлять фичи без риска сломать существующий код. В итоге библиотека снова стала инструментом для production-приложений.

Полное перестроение CI: Решены проблемы с тестами, расширена поддержка Node.js и Bun.
Документация на автопилоте: Изменения валидируются автоматически, что снижает ошибки.
Браузерный тестинг: Playwright заменил старые инструменты, фокус на актуальных браузерах.

Аспект	До обновления	После 2026
CI/CD	Не работало стабильно	Полностью восстановлено
Node.js	Ограниченная поддержка	+ Bun и новые версии
Тесты браузера	Отсутствовали	Playwright с матрицей

Усиление безопасности - ключевые изменения

Основной акцент обновления - на безопасности. Lodash страдала от уязвимостей вроде прототипного загрязнения в функциях unset, omit, pick и set. Новая версия закрывает CVE-2025-134655 и старые дыры типа ReDoS в toNumber и trim. Ввели формальный план реагирования на инциденты и threat model.

Интегрировали GitHub Security Advisories, CodeQL для статического анализа и Renovate для автообновлений зависимостей. Dependency review в PR и мониторинг через OpenSSF Scorecard минимизируют риски. Теперь библиотека на уровне других OpenJS проектов. Это критично для веб-приложений, где Lodash везде - от фреймворков до билд-систем.

Прототипное загрязнение: Фикс в unset, omit, setWith и zipObjectDeep.

Уязвимость	Версии до	Статус в 2026
Prototype Pollution	<4.17.23	Закрыто
ReDoS (toNumber, trim)	<4.17.21	Закрыто
Command Injection (template)	<4.17.21	Закрыто
Resource Consumption	<4.7.11	Закрыто

Новые фичи и планы на major-версию

Хотя текущий релиз - патч 4.17.23+, анонсирована полноценная major-версия. Она сбросит поддержку старых рантаймов, добавит современный синтаксис и FP-методы. Упрощена загрузка: core, fp и cherry-pick модулей для легких бандлов. Это ускорит работу с массивами, объектами и строками.

Примеры: улучшенная поддержка символов в путях, subclassed arrays и lazy evaluation без лимитов. Планируют консолидировать форки и микропакеты в один core. Такие изменения сделают Lodash легче и быстрее, особенно в больших проектах.

Поддержка новых рантаймов: Bun, современный Node.js.
Оптимизация бандлов: Легкие импорты lodash/at, lodash/fp/curryN.
Расширенные методы: Символы, deep paths, map/set клоны с custom свойствами.

Итоги трансформации Lodash

Обновление превратило Lodash из забытой библиотеки в активно поддерживаемый проект с Technical Steering Committee. Закрыты ключевые уязвимости, инфраструктура на высоте, roadmap четкий. Осталось дождаться major-релиза с дропом legacy-поддержки.

Это сигнал для экосистемы: даже старые инструменты могут возродиться. Стоит присмотреться к нативным альтернативам вроде structuredClone, но Lodash остается удобным для сложных задач. Дальше - оптимизация под ESM и еще больше безопасности.