- Yama var
- Son 7 gün
- CWE-1321
CVE-2026-116674
systeminformation kütüphanesinde networkStats üzerinden prototip kirlenmesi (prototype pollution)
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, sistem bilgisi toplayan bir yazılım kütüphanesinde bulunmaktadır ve yalnızca belirli BSD tabanlı sistemleri etkiler. Saldırganın doğrudan veri çalmasına veya sistemi ele geçirmesine dair bir kanıt bildirilmemiştir, ancak uygulamanın beklenmeyen davranmasına neden olabilir. Kullandığınız yazılımı güncellemek, bu riski düşük maliyetle ortadan kaldırmanın en etkili yoludur.
ÖzetTürkçe
systeminformation, Node.js için sistem ve işletim sistemi bilgilerini toplayan bir kütüphanedir. 5.33.13 öncesi sürümlerde, FreeBSD, OpenBSD ve NetBSD üzerinde networkStats(ifaces) fonksiyonu, arayüz verilerini düz bir nesne olan önbellekte tutar ve bu önbelleğe çağıranın verdiği arayüz adını doğrudan kullanarak erişir. Bu nedenle özel bir ad girildiğinde, kütüphane Object.prototype üzerine yazar. Etkilenen sistemler, bu kütüphaneyi kullanan ve FreeBSD, OpenBSD veya NetBSD üzerinde çalışan Node.js uygulamalarıdır.
Saldırgan ne yapabilir?
Saldırgan, Object.prototype'a yazılan değerler nedeniyle uygulamanın dallanma, serileştirme, yapılandırma birleştirme veya doğrulama mantığını bozabilir; bu da beklenmeyen davranışlara ve hizmet aksamalarına yol açabilir.
Kaynaktaki açıklama (İngilizce)
systeminformation is a System and OS information library for node.js. Prior to 5.33.13, networkStats(ifaces) in lib/network.js on FreeBSD, OpenBSD, and NetBSD stores per-interface data in the plain-object _network cache and indexes it with the sanitized caller-controlled interface name. Passing proto causes the inherited Object.prototype value to be used instead of creating an own cache entry, so calcNetworkSpeed() writes rx_bytes, tx_bytes, rx_sec, tx_sec, ms, last_ms, and operstate onto Object.prototype. The polluted property names are fixed and their values come from interface statistics, but inherited-name collisions and enumerable keys can corrupt application branching, serialization, configuration merging, validation, or lookup behavior. This issue is fixed in version 5.33.13.
Ne yapmalı?
- systeminformation kütüphanesini 5.33.13 veya daha yeni bir sürüme yükseltin. Üretici
- Uygulamanızın bağımlılıklarında bu kütüphanenin hangi sürümünün kullanıldığını kontrol edin ve yeniden derleyip dağıtın. Genel öneri
Ek önlemler
- FreeBSD, OpenBSD veya NetBSD üzerinde çalışan sunucularda bu kütüphaneyi kullanan uygulamaları öncelikli olarak güncelleyin. Genel öneri
- Ağ arayüzü adlarını ve dış girdileri, networkStats gibi fonksiyonlara geçmeden önce doğrulayın ve yalnızca beklenen değerlere izin verin. Genel öneri
- Uygulamanızda beklenmeyen nesne özelliklerinin görülüp görülmediğini izleyin ve gerekirse Object.prototype'u dondurmayı değerlendirin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| sebhildebrandt systeminformation | < 5.33.13 | 5.33.13 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.