Veille sécuritéFrontend
P3Critique
Si une application transmet à `pool.run()` un objet d’options dont `filename` est hérité après une pollution de prototype, tinypool peut charger et exécuter un module worker contrôlé par l’attaquant. Mettez à niveau tinypool vers 2.1.2 ou une version ultérieure et évitez de transmettre des options contrôlées par l’utilisateur sans validation.
JavaScript
IdentifiantCVE-2026-104849
GravitéCritique
Exploitationnon connue / non déterminée
Correctif2.1.2
Source : GHSA-85c8-ppgw-ccpr — Tinypool
Analyse technique
Le problème concerne l’appel avec un objet d’options fourni par le demandeur ; `pool.run(task)` sans second argument n’est pas affecté selon l’avis.
Impact, versions et correctif
Événement datéAvis publié le 5 octobre à 22:49:52 UTC, soit le 6 octobre à 00:49:52 +02:00, dans l’intervalle demandé.
ImpactExécution de JavaScript dans un worker et possibilité d’exfiltration ou de modification des données traitées.
Versions affectéestinypool < 2.1.2
Version corrigée2.1.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,39% · percentile 30,8%
Publication2026-10-06T00:49:52+02:00
Mise à jour2026-10-06T00:49:53+02:00
Action recommandée
Mettre à niveau tinypool vers 2.1.2 ou une version ultérieure et valider les options transmises à `pool.run()`.
Sources
Priorisation DFS : P3 · 1 source(s).