CVE-2021-21315

Yüksek CISA KEV: Aktif İstismar

Teknik Veri (Otomatik)

CVSS Skoru: 7.1
EPSS: 90.7%
CWE: CWE-78
KEV Durumu: Evet

Yayım tarihi: 16 Şubat 2021 · CISA KEV son iyileştirme tarihi: 1 Şubat 2022

Etkilenen: systeminformation systeminformation

Node.JS için Sistem Bilgi Kütüphanesi (npm paketi "systeminformation"), ayrıntılı donanım, sistem ve işletim sistemi bilgilerini almak için açık kaynaklı bir fonksiyon koleksiyonudur. systeminformation 5.3.1 sürümünden önceki sürümlerde bir komut enjeksiyon zafiyeti bulunmaktadır. Sorun 5.3.1 sürümünde giderilmiştir. Yükseltme yerine geçici bir çözüm olarak, si.inetLatency(), si.inetChecksite(), si.services(), si.processLoad() gibi fonksiyonlara geçirilen hizmet parametrelerini kontrol edin veya temizleyin, yalnızca dizeleri izin verin ve dizi türlerini reddedin. Dize temizleme beklenen şekilde çalışmaktadır.

Orijinal açıklama (İngilizce)

The System Information Library for Node.JS (npm package "systeminformation") is an open source collection of functions to retrieve detailed hardware, system and OS information. In systeminformation before version 5.3.1 there is a command injection vulnerability. Problem was fixed in version 5.3.1. As a workaround instead of upgrading, be sure to check or sanitize service parameters that are passed to si.inetLatency(), si.inetChecksite(), si.services(), si.processLoad() ... do only allow strings, reject any arrays. String sanitation works as expected.

Referanslar

NVD kaydı ↗CVE.org ↗CISA KEV kataloğu ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.