Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-78

CVE-2021-21315

systeminformation npm paketinde komut enjeksiyonu açığı

sebhildebrandt systeminformation

Yüksek 7,1 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
2080 gün
Kaydı açan
GitHub_M
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 18 Oca 2022 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 1 Şub 2022.

ÖzetTürkçe

Node.JS için Sistem Bilgisi Kütüphanesi (npm paketi "systeminformation"), donanım, sistem ve işletim sistemi bilgilerini almak için işlevler sunan açık kaynaklı bir koleksiyondur. systeminformation'ın 5.3.1 sürümünden önceki sürümlerinde bir komut enjeksiyonu açığı bulunmaktadır. Sorun 5.3.1 sürümünde giderilmiştir. Yükseltme yapmak yerine geçici çözüm olarak, si.inetLatency, si.inetChecksite, si.services, si.processLoad ... gibi fonksiyonlara geçirilen servis parametrelerinin kontrol edilmesi veya temizlenmesi gerekir; yalnızca dizgilere (string) izin verilmeli, dizileri (array) reddedilmelidir. Dizgi temizleme beklendiği gibi çalışmaktadır.

Kaynaktaki açıklama (İngilizce)

The System Information Library for Node.JS (npm package "systeminformation") is an open source collection of functions to retrieve detailed hardware, system and OS information. In systeminformation before version 5.3.1 there is a command injection vulnerability. Problem was fixed in version 5.3.1. As a workaround instead of upgrading, be sure to check or sanitize service parameters that are passed to si.inetLatency(), si.inetChecksite(), si.services(), si.processLoad() ... do only allow strings, reject any arrays. String sanitation works as expected.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
sebhildebrandt systeminformation < 5.3.1 5.3.1

Kaynaklar7 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.