CVE-2026-104848 in Tinypool
Zusammenfassung
von VulDB • 03.10.2026
Tinypool ist eine minimale Implementierung eines Worker-Thread-Pools für Node.js. Vor Version 2.1.1 konstruiert Tinypool ThreadPool.options aus einem normalen Optionsobjekt und liest die Worker-Optionen execArgv und env in dist/index.js, wodurch Werte, die von einer verschmutzten Object.prototype geerbt wurden, in eigene Eigenschaften kopiert und an worker_threads.Worker übergeben werden können. Ein Angreifer, der entweder dieser Eigenschaft schädlichen Code injizieren kann, verursacht, dass jeder neu gestartete Worker angreifergewählten JavaScript-Code über Befehlszeilen-Vorladeargumente oder NODE_OPTIONS lädt, was zur Ausführung von Code mit den Berechtigungen des Host-Prozesses und möglicherweise zum Zugriff auf CI-Geheimnisse, Signaturmaterial oder Build-Artefakte führt. Dieses Problem wurde in Version 2.1.1 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.