CVE-2025-68154 in systeminformation
Riassunto
di VulDB • 28/06/2026
systeminformation è una libreria per il recupero di informazioni sul sistema e sul SO destinata a node.js. Nelle versioni precedenti alla 5.27.14, la funzione `fsSize()` di systeminformation è vulnerabile all'iniezione di comandi OS (OS command injection) sui sistemi Windows. Il parametro opzionale `drive` viene concatenato direttamente in un comando PowerShell senza alcuna sanificazione, consentendo l'esecuzione arbitraria di comandi quando input controllati dall'utente raggiungono questa funzione. L'utilizzabilità effettiva dell'exploit dipende da come le applicazioni utilizzano tale funzione. Se un'applicazione non passa input controllati dall'utente a `fsSize()`, essa non è vulnerabile. La versione 5.27.14 contiene una patch di correzione.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.