CVE-2026-104849

Tinypool minimal Node.js işçi axınları (worker thread) hovuzunun tətbiqidir. Versiya 2.1.2-dək olan versiyalarda, Tinypool `pool.run(task, options)` funksiyasında fayl adını çağırıcı tərəfindən təmin edilən options obyektindən özünəməxsus xüsusiyyət (own property) tələb etmədən oxuyur, buna görə də çirkləndirilmiş `Object.prototype.filename` nəzərdə tutulmuş işçi modulunu əvəz edə bilər. Tətbiqlər yalnız `pool.run()` funksiyasına ikinci arqument kimi öz options obyektini ötürdükləri halda təsirə məruz qalırlar; bu arqument olmadan edilən çağırışlar etibarlı standart options obyektindən istifadə edir. Protokolu öncədən çirkləndirə bilən hücumçu, işçi hovuzunun hücumçunun seçdiyi JavaScript faylını yükləməsinə səbəb ola bilər və host prosesinin imtiyazları ilə tapşırıq məlumatlarını oxuya və ya dəyişdirə bilər. Bu problem 2.1.2 versiyasında düzəldilmişdir.