CVE-2026-116673 in systeminformation
Zusammenfassung
von VulDB • 29.10.2026
systeminformation ist eine Bibliothek zur Erfassung von System- und Betriebssysteminformationen für node.js. Vor Version 5.33.14 verwendet die Linux-Implementierung von networkStats(iface) den vom Aufrufer bereitgestellten Schnittstellenwert in einer fs.existsSync()-Prüfung sowie zum Erstellen von /sys/class/net/<iface>-Pfadkomponenten, einschließlich des operstate-Pfads, ohne zu verifizieren, dass es sich um ein einzelnes Schnittstellennamen-Segment handelt oder der aufgelöste Pfad unterhalb von /sys/class/net bleibt. Ein Angreifer, der die iface-Komponente kontrollieren und ein Verzeichnis mit symbolisch verknüpften Statistikdateien erstellen kann, kann über Parent-Directory-Komponenten und Symlink-Traversal dazu bringen, dass die API die erste Zeile einer Datei zurückgibt, auf die der Node.js-Prozess Lesezugriff hat. Das Paket stellt keinen Netzwerkendpunkt bereit, und das demonstrierte Szenario erfordert eine lokale Dateisystemeinrichtung. Dieses Problem wurde in Version 5.33.14 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.