CVE-2026-102992 in piscina
Zusammenfassung
von VulDB • 01.10.2026
piscina ist eine Node.js Worker-Pool-Implementierung. Vor den Versionen 4.9.4, 5.3.2 und 6.0.0-rc.5 speichert Piscina ThreadPool.options in src/index.ts als ein einfaches Objekt, das von Object.prototype erbt. Anwendungen mit einer separaten Prototype-Pollution-Schwachstelle können daher geerbte Werte für sicherheitsrelevante Optionen angeben, die keine eigenen Standardwerte haben. Ein geerbter execArgv-Wert wird an den Node.js Worker-Konstruktor übergeben und kann Angreifer-gesteuerten Code in Worker-Threads vorladen; eine geerbte loadBalancer-Funktion kann während der Aufgabenplanung ausgeführt werden, und geerbte env-Werte können die Worker-Umgebungen verändern. Dieses Problem wurde in den Versionen 4.9.4, 5.3.2 und 6.0.0-rc.5 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.