CVE-2025-23090

18 Jul 2025, 23:15

Type	Values Removed	Values Added
CVSS	v2 : unknown v3 : 7.7	v2 : unknown v3 : unknown
References	{'url': 'https://hackerone.com/reports/2575105', 'source': 'support@hackerone.com'}
CWE	CWE-284
Summary	(es) Con la ayuda de la utilidad diagnostics_channel, se puede conectar un evento cada vez que se crea un subproceso de trabajo. Esto no se limita solo a los trabajadores, sino que también expone a los trabajadores internos, donde se puede obtener una instancia de ellos y se puede obtener su constructor y restablecerlo para un uso malintencionado. Esta vulnerabilidad afecta a los usuarios del modelo de permisos (--permission) en Node.js v20, v22 y v23.
Summary	(en) With the aid of the diagnostics_channel utility, an event can be hooked into whenever a worker thread is created. This is not limited only to workers but also exposes internal workers, where an instance of them can be fetched, and its constructor can be grabbed and reinstated for malicious usage. This vulnerability affects Permission Model users (--permission) on Node.js v20, v22, and v23.	(en) Rejected reason: This CVE record has been withdrawn due to a duplicate entry CVE-2025-23083.

---

11 Feb 2025, 00:15

Type	Values Removed	Values Added
CWE		CWE-284
Summary		(es) Con la ayuda de la utilidad diagnostics_channel, se puede conectar un evento cada vez que se crea un subproceso de trabajo. Esto no se limita solo a los trabajadores, sino que también expone a los trabajadores internos, donde se puede obtener una instancia de ellos y se puede obtener su constructor y restablecerlo para un uso malintencionado. Esta vulnerabilidad afecta a los usuarios del modelo de permisos (--permission) en Node.js v20, v22 y v23.

---

22 Jan 2025, 02:15

Type	Values Removed	Values Added
New CVE

---