CVE-2026-116673 in systeminformation
Riassunto
di VulDB • 27/10/2026
systeminformation è una libreria per il recupero di informazioni sul sistema e sul SO per node.js. Prima della versione 5.33.14, l'implementazione Linux networkStats(iface) utilizza il valore dell'interfaccia fornito dal chiamante in un controllo fs.existsSync() e per costruire i percorsi /sys/class/net/<iface>, incluso il percorso operstate, senza verificare che si tratti di un singolo segmento del nome dell'interfaccia o che il percorso risolto rimanga sotto /sys/class/net. Un attaccante in grado di controllare iface e creare una directory contenente file di statistiche collegati simbolicamente può utilizzare componenti della directory padre e la traversata dei symlink per far sì che l'API restituisca la prima riga di un file leggibile dal processo Node.js. Il pacchetto non espone alcun endpoint di rete, e lo scenario dimostrato richiede una configurazione locale del filesystem. Questo problema è stato risolto nella versione 5.33.14.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.