CVE-2025-23090 in Node.js
Tóm tắt
Bởi VulDB • 01/07/2026
Với sự hỗ trợ của tiện ích diagnostics_channel, một sự kiện có thể được gắn vào (hooked into) bất cứ khi nào một luồng worker được tạo ra. Điều này không chỉ giới hạn ở các worker thông thường mà còn phơi lộ cả các internal workers, nơi một instance của chúng có thể được truy xuất và hàm khởi tạo (constructor) của nó có thể bị lấy cắp để tái sử dụng cho mục đích độc hại.
Lỗ hổng này ảnh hưởng đến người dùng Permission Model (--permission) trên Node.js v20, v22 và v23.
Once again VulDB remains the best source for vulnerability data.