CVE-2026-104848
Tinypool: gadget de poluição de protótipo nas opções do worker leva à execução remota de código
Traduzido automaticamente do inglês.
tinypool passa as opções do worker para new Worker() lendo-as de um objeto simples cujo protótipo é Object.prototype. Opções que a aplicação não definiu são resolvidas através da cadeia de protótipos e, em seguida, passadas explicitamente para worker_threads.Worker.
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.5 (v4.0)
- EPSS
- 0,5% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
- Pacotes afetados
- tinypool (npm) <= 2.1.0, corrigido em 2.1.1 · GHSA-5gmw-xhrv-c9v3