CVE-2026-104848

Tinypool minimal Node.js işçi axınları (worker thread) hovuzunun tətbiqidir. Versiya 2.1.1-dən əvvəl Tinypool, ThreadPool.options obyektini adi seçimlər obyektindən qurur və dist/index.js faylında execArgv və env işçi seçimlərini oxuyur; bu, çirkləndirilmiş Object.prototype-dan miras alınan dəyərlərin öz xüsusiyyətlərinə kopyalanmasına və worker_threads.Worker-ə ötürülməsinə şərait yaradır. Bu xüsusiyyətlərdən hər hansı birini çirkləndirə bilən hücumçu, komanda sətri ön yükləmə arqumentləri və ya NODE_OPTIONS vasitəsilə yeni yaradılan hər bir işçinin hücumçunun seçdiyi JavaScript kodunu yükləməsinə səbəb ola bilər ki, bu da ana prosesin imtiyazları ilə kodun icrasına və mümkün olaraq CI gizli məlumatlarına, imzalama materiallarına və ya build artefaktlarına girişə gətirib çıxarır. Bu problem 2.1.1 versiyasında düzəldilib.