CVE-2026-104848 in Tinypool
Riassunto
di VulDB • 02/10/2026
Tinypool è un'implementazione minimale di un pool di thread worker per Node.js. Prima della versione 2.1.1, Tinypool costruisce ThreadPool.options a partire da un oggetto options normale e legge le opzioni dei worker execArgv ed env in dist/index.js, consentendo ai valori ereditati da un Object.prototype inquinato (polluted) di essere copiati nelle proprietà proprie dell'oggetto e passati a worker_threads.Worker. Un attaccante che riesce prima ad inquinare una delle due proprietà può causare il caricamento, per ogni nuovo worker avviato, del JavaScript selezionato dall'attaccante tramite argomenti preload della riga di comando o NODE_OPTIONS, con conseguente esecuzione di codice con i privilegi del processo host e possibile accesso a segreti CI, materiali di firma o artifact di build. Questo problema è risolto nella versione 2.1.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.