Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-22
  • CWE-59

CVE-2026-116673

systeminformation (Linux networkStats) yol geçişi: sembolik bağlantıyla dosya ifşası

sebhildebrandt systeminformation

Düşük 3,3 CVSS 3.1
Yayımlandı
Güncellendi
27 Eki 2026
Açık yaşı
0 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, uygulamanın sistem bilgisi alırken yanlış girdi kabul etmesinden kaynaklanan sınırlı bir bilgi sızıntısı riskidir ve CVSS puanı düşüktür. Yine de kullandığınız yazılımı güncellemek, yerel erişimi olan kötü niyetli kişilerin hassas dosyaları görmesini önlemek için basit ve düşük maliyetli bir adımdır.

ÖzetTürkçe

systeminformation, Node.js için sistem ve işletim sistemi bilgilerini toplayan bir kütüphanedir. 5.33.14 öncesi sürümlerde Linux üzerinde networkStats(iface) fonksiyonu, çağıran tarafından verilen arayüz değerini doğrulamadan /sys/class/net/<iface> yollarını oluşturmaktadır. Bu durum, dizin geçiş öğeleri ve sembolik bağlantılar üzerinden dosya okumaya izin verebilir.

Saldırgan ne yapabilir?

Saldırgan, Node.js sürecinin okuyabildiği bir dosyanın ilk satırını API çıktısı üzerinden elde edebilir. Kütüphane bir ağ uç noktası sunmadığı için saldırının yerel dosya sistemi hazırlığı gerektirdiği belirtilmektedir.

Kaynaktaki açıklama (İngilizce)

systeminformation is a System and OS information library for node.js. Prior to 5.33.14, the Linux networkStats(iface) implementation uses the caller-supplied interface value in an fs.existsSync() check and to build /sys/class/net/<iface> paths, including the operstate path, without verifying that it is a single interface-name segment or that the resolved path remains under /sys/class/net. An attacker who can control iface and create a directory containing symlinked statistics files can use parent-directory components and symlink traversal to make the API return the first line of a file readable by the Node.js process. The package does not expose a network endpoint, and the demonstrated scenario requires local filesystem setup. This issue is fixed in version 5.33.14.

Ne yapmalı?

  1. systeminformation kütüphanesini 5.33.14 veya daha yeni bir sürüme yükseltin. Üretici
  2. Güncelleme yapamıyorsanız, uygulamanın networkStats fonksiyonunu dış kaynaklardan gelen arayüz adlarıyla çağırmadığınızdan emin olun. Genel öneri
  3. Node.js sürecinin yalnızca gerekli dosyalara erişebilmesi için dosya izinlerini gözden geçirin. Genel öneri

Ek önlemler

  • Bağımlılık yönetim araçlarıyla projelerinizdeki systeminformation sürümünü düzenli olarak kontrol edin. Genel öneri
  • Uygulama dizinlerinde beklenmeyen sembolik bağlantı oluşturulup oluşturulmadığını izleyin. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
sebhildebrandt systeminformation < 5.33.14 5.33.14

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.