Piscina: Prototype-Pollution-Gadget in ThreadPool.options ermöglicht Codeausführung

Zusammenfassung

Piscina, eine Worker-Thread-Pool-Bibliothek für Node.js, speichert ihre internen Optionen in einem einfachen Objekt, das von Object.prototype erbt. Eine Anwendung mit einer separaten Prototype-Pollution-Schwachstelle kann vererbte Werte für sicherheitsrelevante Optionen wie execArgv, loadBalancer und env einschleusen, wodurch vom Angreifer kontrollierter Code in Worker-Threads ausgeführt werden kann. Für die Ausnutzung ist eine bestehende Prototype-Pollution-Schwachstelle an anderer Stelle der Anwendung erforderlich.

Betroffen

• piscina vor 4.9.4
• piscina 5.0.0 bis vor 5.3.2
• piscina 6.0.0-rc.1 bis vor 6.0.0-rc.5

Behoben in

• piscina 4.9.4
• piscina 5.3.2
• piscina 6.0.0-rc.5 (Release Candidate)

Umgehung

Kein Workaround des Herstellers bekannt. Auf eine korrigierte Version aktualisieren. Wenn eine transitive Abhängigkeit eine betroffene Version fixiert, kann ein npm-Override auf eine korrigierte Version verwendet werden.

Ausnutzung

• CISA SSVC: Ausnutzungsstatus PoC, automatisierbar: nein, technische Auswirkung: total
• Ein öffentlicher Proof-of-Concept wird von einem Drittanbieter-Tracker gemeldet; nicht verifiziert
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; laut einem Drittanbieter-Aggregator nicht im CISA KEV-Katalog

Unsere Empfehlung

• Alle Systeme und Build-Pipelines identifizieren, die piscina verwenden, einschliesslich indirekter Abhängigkeiten, zum Beispiel über Lock-Dateien und Software-Composition-Analyse
• Auf 4.9.4, 5.3.2 oder 6.0.0-rc.5 oder neuer aktualisieren
• Die Anwendung auf Prototype-Pollution-Schwachstellen prüfen und diese beheben
• Node.js-Dienste auf unerwartete Worker-Startflags oder Änderungen der Umgebungsvariablen überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-67c8-pqhq-4rmx github.com
• Piscina release v4.9.4 github.com
• Piscina release v5.3.2 github.com
• Piscina release v6.0.0-rc.5 github.com
• Fix commit 0cb12fc github.com
• GitLab Advisory Database CVE-2026-102992 advisories.gitlab.com
• VulDB CVE-2026-102992 vuldb.com
• Miggo CVE-2026-102992 www.miggo.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:02.