CVE-2026-55388
Publiée le 2026-06-22 · Dernière modification le 2026-10-25
Les applications Node.js utilisant la bibliothèque de pool de workers `piscina` sont concernées. Un attaquant peut parvenir à une exécution complète de code à distance en exploitant une faille de pollution de prototype pour forcer le système à exécuter un script malveillant. Bien que cela nécessite un accès réseau, l'exécution est difficile car l'attaquant doit d'abord trouver un moyen distinct de polluer le prototype de l'objet global dans la mémoire de votre application.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
piscina is a node.js worker pool implementation. Prior to 6.0.0-rc.2, 5.2.0, and 4.9.3, piscina's constructor and run() paths read the filename option via plain member access. Both reads fall through the prototype chain when the caller's options object doesn't have filename as an own property. When Object.prototype.filename is polluted upstream the inherited value flows to worker_threads.Worker import and the attacker's .mjs runs in the worker. This vulnerability is fixed in 6.0.0-rc.2, 5.2.0, and 4.9.3.