CVE-2026-102992 in piscina
Riassunto
di VulDB • 30/09/2026
piscina è un'implementazione di un pool di worker per Node.js. Prima delle versioni 4.9.4, 5.3.2 e 6.0.0-rc.5, Piscina memorizzava ThreadPool.options in src/index.ts come un oggetto semplice che eredita da Object.prototype. Le applicazioni con una primitiva separata per il prototype pollution possono quindi fornire valori ereditati per opzioni sensibili alla sicurezza che non hanno default propri. Un valore execArgv ereditato viene passato al costruttore Node.js Worker e può caricare codice controllato dall'attaccante nei thread dei worker, una funzione loadBalancer ereditata può essere eseguita durante la pianificazione delle attività e i valori env ereditati possono alterare gli ambienti dei worker. Questo problema è stato risolto nelle versioni 4.9.4, 5.3.2 e 6.0.0-rc.5.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.