CVE-2026-104849 in Tinypool
Zusammenfassung
von VulDB • 02.10.2026
Tinypool ist eine minimale Implementierung eines Worker-Thread-Pools für Node.js. Vor Version 2.1.2 liest Tinypool den Dateinamen aus einem vom Aufrufer bereitgestellten Optionsobjekt in `pool.run(task, options)`, ohne zu prüfen, ob es sich um eine eigene Eigenschaft handelt; daher kann ein verschmutztes `Object.prototype.filename` das beabsichtigte Worker-Modul ersetzen. Anwendungen sind nur betroffen, wenn sie ihr eigenes zweites Argument (Optionsobjekt) an `pool.run()` übergeben; Aufrufe ohne dieses Argument verwenden das vertrauenswürdige Standard-Optionsobjekt. Ein Angreifer, der zunächst den Prototyp verschmutzen kann, verursacht, dass der Worker-Pool vom Angreifer ausgewähltes JavaScript lädt und Taskdaten mit den Berechtigungen des Host-Prozesses lesen oder modifizieren kann. Dieses Problem wurde in Version 2.1.2 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.