Command Injection Vulnerability

CAO 7.8ĐANG BỊ KHAI THÁC (CISA KEV)CVE-2021-21315 · GHSA-2m8v-572m-ff2v · Công bố 16/02/2021 · cập nhật 17/06/2026

System Information Library for Node.JS Command Injection. Đang bị khai thác thực tế: CISA đưa lỗ hổng này vào danh mục Known Exploited Vulnerabilities ngày 18/01/2022. Hãy vá các hệ thống bị ảnh hưởng ngay.

Tóm tắt nhanh

CVE-2021-21315 là lỗ hổng mức CAO (CVSS 7.8) ảnh hưởng cordova (apache), systeminformation (systeminformation), systeminformation.
Đang bị khai thác thực tế: CISA đưa vào danh mục KEV ngày 18/01/2022.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 90.7%, cao hơn 99.8% các lỗ hổng khác.
Cách xử lý: cập nhật lên 5.3.1 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
cordova apache	`= 10.0.0`	Chưa có bản vá
systeminformation systeminformation	`< 5.3.1`	`5.3.1`
systeminformation npm	`< 5.3.1`	`5.3.1`

Mô tả

Impact

command injection vulnerability

Patches

Problem was fixed with a parameter check. Please upgrade to version >= 5.3.1

Workarounds

If you cannot upgrade, be sure to check or sanitize service parameters that are passed to si.inetLatency(), si.inetChecksite(), si.services(), si.processLoad() ... do only allow strings, reject any arrays. String sanitation works as expected.

Mô tả của NVD

The System Information Library for Node.JS (npm package "systeminformation") is an open source collection of functions to retrieve detailed hardware, system and OS information. In systeminformation before version 5.3.1 there is a command injection vulnerability. Problem was fixed in version 5.3.1. As a workaround instead of upgrading, be sure to check or sanitize service parameters that are passed to si.inetLatency(), si.inetChecksite(), si.services(), si.processLoad() ... do only allow strings, reject any arrays. String sanitation works as expected.