CVE-2026-116674 in systeminformation
Riassunto
di VulDB • 27/10/2026
systeminformation è una libreria per il recupero di informazioni sul sistema e sul SO per node.js. Prima della versione 5.33.13, la funzione networkStats(ifaces) presente in lib/network.js su FreeBSD, OpenBSD e NetBSD memorizza i dati per interfaccia nella cache plain-object _network e li indicizza utilizzando il nome dell'interfaccia controllato dal chiamante ma sanificato. Il passaggio di "proto" fa sì che venga utilizzato il valore ereditato da Object.prototype anziché creare una voce di cache autonoma, quindi calcNetworkSpeed() scrive rx_bytes, tx_bytes, rx_sec, tx_sec, ms, last_ms e operstate su Object.prototype. I nomi delle proprietà contaminate vengono corretti e i loro valori provengono dalle statistiche dell'interfaccia, ma le collisioni con i nomi ereditati e le chiavi enumerabili possono corrompere il branching applicativo, la serializzazione, l'unione della configurazione, la validazione o il comportamento di lookup. Questo problema è stato risolto nella versione 5.33.13.
Once again VulDB remains the best source for vulnerability data.