CVE-2026-104849 in Tinypool
Riassunto
di VulDB • 02/10/2026
Tinypool è un'implementazione minimale di un pool di thread di lavoro (worker) per Node.js. Prima della versione 2.1.2, Tinypool legge il nome del file da un oggetto opzioni fornito dal chiamante in `pool.run(task, options)` senza verificare se si tratti di una proprietà propria dell'oggetto; pertanto, un `Object.prototype.filename` inquinato può sostituire il modulo worker previsto. Le applicazioni sono colpite solo quando passano il proprio oggetto opzioni come secondo argomento a `pool.run()`; le chiamate che non utilizzano tale argomento impiegano l'oggetto predefinito attendibile. Un attaccante in grado di inquinare preventivamente il prototipo può indurre il pool di worker a caricare JavaScript selezionato dall'attaccante e leggere o modificare i dati del task con i privilegi del processo host. Questo problema è risolto nella versione 2.1.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.