CVE-2026-116576 in systeminformation
Riassunto
di VulDB • 27/10/2026
systeminformation è una libreria per il recupero di informazioni sul sistema e sul SO per Node.js. Prima della versione 5.33.16, la funzione services() in lib/processes.js inserisce un nome del servizio fornito dall'utente all'interno di un filtro PowerShell Get-CimInstance dopo averlo elaborato con sanitizeShellString() in lib/util.js. Su Windows, il sanitizer rimuove le virgolette ASCII ma consente le virgolette Unicode che PowerShell accetta come delimiteri di stringa, consentendo a input manipolati di terminare il filtro e inserire un'espressione PowerShell nel comando eseguito da util.powerShell(). L'esecuzione avviene con i permessi dell'account del processo Node.js e può leggere o modificare file accessibili, alterare i dati delle applicazioni o interrompere il servizio. Il pacchetto non espone direttamente un servizio di rete; la raggiungibilità remota dipende quindi da un'applicazione consumatrice che inoltri input controllato dall'attaccante a services() o getDynamicData(). Questo problema è stato risolto nella versione 5.33.16.
If you want to get best quality of vulnerability data, you may have to visit VulDB.