CVE-2026-104849

Tinypool, minimal bir Node.js worker thread havuzu uygulamasıdır. 2.1.2 sürümünden önce Tinypool, pool.run(task, options) fonksiyonunda çağırıcı tarafından sağlanan seçenekler nesnesinden filename değerini kendi özelliği olup olmadığını kontrol etmeden okur; bu nedenle kirletilmiş bir Object.prototype.filename, hedeflenen worker modülünün yerini alabilir. Uygulamalar yalnızca pool.run() fonksiyonuna ikinci argüman olarak kendi seçenekler nesnelerini geçirdiklerinde etkilenir; bu argüman olmadan yapılan çağrılar güvenilir varsayılan seçenekler nesnesini kullanır. Önce prototipi kirletebilen bir saldırgan, worker havuzunun saldırgan tarafından seçilen JavaScript dosyasını yüklemesine neden olabilir ve ana sürecin ayrıcalıklarıyla görev verilerini okuyabilir veya değiştirebilir. Bu sorun 2.1.2 sürümünde düzeltilmiştir.