PT-2026-103583

CVE-2026-102992

Publicado

2026-08-28

Atualizado

2026-10-14

Descrição por

CVSS 4.0

9.2

Crítica

MétricasAV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas piscina versões anteriores a 4.9.4 piscina versões anteriores a 5.3.2 piscina versões anteriores a 6.0.0-rc.5

Description Este problema ocorre porque o software armazena ThreadPool.options como um objeto simples que herda de Object.prototype. Quando um primitivo de poluição de protótipo (prototype pollution) separado está presente, um invasor pode fornecer valores herdados para opções sensíveis de segurança que não possuem padrões próprios. Isso pode levar aos seguintes impactos:

Um valor execArgv herdado passado para o construtor do Node.js Worker pode pré-carregar código controlado pelo invasor em threads de trabalho.
Uma função loadBalancer herdada pode ser executada durante o agendamento de tarefas.
Valores env herdados podem alterar os ambientes de trabalho.

Recommendations Atualize para a versão 4.9.4. Atualize para a versão 5.3.2. Atualize para a versão 6.0.0-rc.5.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fcmam5

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-1321: Improperly Controlled Modification of Object Prototype Attributes (\'Prototype Pollution\')

Identificadores relacionados