Piscina Worker Pool: prototype-pollution-gadget kan leiden tot code-executie (CVE-2026-102992)

Wat is er aan de hand

Piscina slaat het ThreadPool.options-object op als een gewoon JavaScript-object in src/index.ts, waardoor het eigenschappen erft van Object.prototype in plaats van gebruik te maken van een object zonder prototype of een anderszins geïsoleerd object. Als een applicatie die piscina gebruikt een aparte prototype-pollution-primitive bevat (een andere kwetsbaarheid waarmee een aanvaller willekeurige eigenschappen op Object.prototype kan instellen), kan die primitive overgeërfde waarden leveren voor piscina-opties die geen eigen, expliciete standaardwaarde hebben.

Technische oorzaak

Omdat ThreadPool.options een gewoon object is, zijn er drie beveiligingsgevoelige opties bereikbaar via prototype-overerving wanneer geen eigen waarde is ingesteld: execArgv, dat direct wordt doorgegeven aan de Node.js Worker-constructor en kan worden gebruikt om door een aanvaller gecontroleerde code vooraf te laden in worker threads; loadBalancer, een functie die wordt uitgevoerd tijdens het inplannen van taken en dus door een aanvaller aangeleverde logica kan draaien; en env, dat de omgevingsvariabelen van worker threads kan wijzigen. Dit wordt geclassificeerd als CWE-1321, Improperly Controlled Modification of Object Prototype Attributes ('Prototype Pollution').

Waarom dit belangrijk is

Op zichzelf is dit probleem in piscina een gadget en geen zelfstandig exploiteerbare kwetsbaarheid: er moet een aparte prototype-pollution-kwetsbaarheid elders in de applicatie aanwezig en bereikbaar zijn voor een aanvaller. Als aan die voorwaarde wordt voldaan, is de impact echter ernstig, omdat het beïnvloeden van execArgv of loadBalancer kan leiden tot uitvoering van door een aanvaller gecontroleerde code in worker threads. De CVSS 4.0-basisscore van 9.2 weerspiegelt deze hoge potentiële impact op vertrouwelijkheid, integriteit en beschikbaarheid zodra het gadget wordt geactiveerd.

Getroffen versies

Piscina-versies vóór 4.9.4 zijn kwetsbaar. Versies vanaf 5.0.0 tot (maar niet inclusief) 5.3.2 zijn kwetsbaar. Pre-release-versies vanaf 6.0.0-rc.1 tot (maar niet inclusief) 6.0.0-rc.5 zijn eveneens kwetsbaar.

Fixes en mitigatie

Het probleem is verholpen in piscina-versies 4.9.4, 5.3.2 en 6.0.0-rc.5. Applicaties dienen te worden bijgewerkt naar een van deze gefixte versies. Let op: dit gadget is alleen uitbuitbaar in combinatie met een aparte prototype-pollution-kwetsbaarheid elders in de applicatie; het wegnemen van dergelijke pollution-primitives in applicatiecode is daarom ook een belangrijke aanvullende maatregel, los van de piscina-update.

Aanbevolen actie

Werk piscina bij naar versie 4.9.4, 5.3.2 of 6.0.0-rc.5, afhankelijk van uw huidige releaselijn. Controleer daarnaast uw applicatie en de bijbehorende dependencies op andere prototype-pollution-kwetsbaarheden, aangezien dit piscina-probleem op zichzelf alleen uitbuitbaar is als zo'n primitive elders aanwezig is.