Piscina におけるプロトタイプ汚染に起因するリモートコード実行の脆弱性

Node.js 用のワーカースレッド管理ライブラリ Piscina におけるプロトタイプ汚染の脆弱性である。ThreadPool のオプション設定オブジェクトがプレーンなオブジェクトとして作成されるため、プロトタイプチェーンを通じて execArgv や env などの重要な設定値を注入できてしまう。攻撃者がアプリケーションの他の箇所で Object.prototype を汚染できる場合、これを利用してワーカー起動時に任意のコードを実行（RCE）させたり、メインスレッドで任意の関数を呼び出したりすることが可能となる。本件は過去の修正（CVE-2026-55388）で対策が漏れていた箇所が悪用されるものであり、概念実証コード（PoC）も公開されている。