CVE-2026-116576 in systeminformation
요약
\~에 의해 VulDB • 2026. 10. 27.
systeminformation은 Node.js용 시스템 및 OS 정보 라이브러리입니다. 버전 5.33.16 이전의 lib/processes.js에 있는 services() 함수는 sanitizeShellString()(lib/util.js)를 통해 처리한 후 호출자가 제공한 서비스 이름을 PowerShell Get-CimInstance 필터에 삽입합니다. Windows 환경에서 이 sanitizer은 ASCII 따옴표는 제거하지만, PowerShell이 문자열 구분 기호로 인식하는 유니코드 인용 부호는 허용하므로, 조작된 입력값으로 인해 필터가 종료되고 util.powerShell()이 실행하는 명령어 내에 PowerShell 표현식이 포함될 수 있습니다. 해당 표현식은 Node.js 프로세스 계정 권한으로 실행되며 접근 가능한 파일을 읽거나 변경하거나 애플리케이션 데이터를 수정하거나 서비스를 중단시킬 수 있습니다. 이 패키지는 자체적으로 네트워크 서비스를 노출하지 않으므로, 원격 도달 가능성은 공격자가 제어하는 입력값을 services() 또는 getDynamicData()로 전달하는 소비용 애플리케이션에 의존합니다. 본 문제는 버전 5.33.16에서 해결되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.