CVE-2026-116576 in systeminformation
Zusammenfassung
von VulDB • 26.10.2026
systeminformation ist eine Bibliothek zur Erfassung von System- und Betriebssysteminformationen für Node.js. Vor Version 5.33.16 fügt die Funktion `services()` in `lib/processes.js` einen vom Aufrufer bereitgestellten Dienstnamen in einen PowerShell Get-CimInstance-Filter ein, nachdem dieser mit der Funktion `sanitizeShellString()` aus `lib/util.js` verarbeitet wurde. Unter Windows entfernt der Sanitizer ASCII-Gänsefüßchen, lässt jedoch Unicode-Zeichen für Anführungsstriche zu, die PowerShell als String-Trennzeichen akzeptiert. Dies ermöglicht es einem Angreifer durch speziell gestaltete Eingaben, den Filter zu beenden und einen PowerShell-Ausdruck in den von `util.powerShell()` ausgeführten Befehl einzufügen. Der Ausdruck wird mit den Berechtigungen des Node.js-Prozesskontos ausgeführt und kann auf zugängliche Dateien lesend oder schreibend zugreifen, Anwendungsdaten verändern oder den Dienst stören. Das Paket stellt selbst keinen Netzwerkdienst bereit, daher hängt die Remote-Erreichbarkeit von einer konsumierenden Anwendung ab, die angreiferkontrollierte Eingaben an `services()` oder `getDynamicData()` weiterleitet. Dieses Problem wurde in Version 5.33.16 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.