CVE-2026-102992
piscina: gadget de poluição de protótipo em ThreadPool.options permite RCE via execArgv / loadBalancer / env
Traduzido automaticamente do inglês.
Um gadget de poluição de protótipo em ThreadPool.options permite que um atacante que possa poluir Object.prototype execute código arbitrário em threads de trabalho da Piscina, invoque funções arbitrárias durante o agendamento de tarefas ou injete variáveis de ambiente nos trabalhadores. A causa raiz é que ThreadPool.options é criado como um objeto simples herdando de Object.
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.2 (v4.0)
- EPSS
- 0,43% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
- Pacotes afetados
- piscina (npm) >= 5.0.0, < 5.3.2, corrigido em 5.3.2 · GHSA-67c8-pqhq-4rmx
- piscina (npm) < 4.9.4, corrigido em 4.9.4 · GHSA-67c8-pqhq-4rmx
- piscina (npm) >= 6.0.0-rc.1, < 6.0.0-rc.5, corrigido em 6.0.0-rc.5 · GHSA-67c8-pqhq-4rmx