CVE-2026-104848
Açıklama
Tinypool, minimal bir Node.js worker thread havuzu uygulamasıdır. 2.1.1 sürümünden önce Tinypool, ThreadPool.options nesnesini normal bir seçenekler nesnesinden oluşturur ve dist/index.js dosyasındaki execArgv ile env worker seçeneklerini okur; bu durum, kirletilmiş bir Object.prototype'dan miras alınan değerlerin kendi özelliklerine kopyalanmasına ve worker_threads.Worker'a aktarılmasına olanak tanır. Bu özelliklerden herhangi birini önceden kirletebilen bir saldırgan, komut satırı ön yükleme argümanları veya NODE_OPTIONS aracılığıyla yeni oluşturulan her worker'ın saldırgan tarafından seçilen JavaScript kodunu yüklemesine neden olabilir; bu da ana sürecin ayrıcalıklarıyla kod çalıştırılmasına ve CI sırlarına, imzalama materyallerine veya derleme artıklarına olası erişime yol açar. Bu sorun 2.1.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- tinypool2.1.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| tinypoolnpm | v < 2.1.1 | 2.1.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.