Command Injection Vulnerability in systeminformation

NGHIÊM TRỌNG 9.8CVE-2021-21388 · GHSA-jff2-qjw8-5476 · Công bố 29/04/2021 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2021-21388 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng systeminformation (systeminformation), systeminformation.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.9%, cao hơn 79.2% các lỗ hổng khác.
Cách xử lý: cập nhật lên 5.6.4 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
systeminformation systeminformation	`< 5.6.4`	`5.6.4`
systeminformation npm	`< 5.6.4`	`5.6.4`

Mô tả

Impact

command injection vulnerability

Patches

Problem was fixed with a parameter check. Please upgrade to version >= 5.6.4

Workarounds

If you cannot upgrade, be sure to check or sanitize service parameters that are passed to si.inetLatency(), si.inetChecksite(), si.services(), si.processLoad() ... do only allow strings, reject any arrays. String sanitation works as expected.

Mô tả của NVD

systeminformation is an open source system and OS information library for node.js. A command injection vulnerability has been discovered in versions of systeminformation prior to 5.6.4. The issue has been fixed with a parameter check on user input. Please upgrade to version >= 5.6.4. If you cannot upgrade, be sure to check or sanitize service parameters that are passed to si.inetLatency(), si.inetChecksite(), si.services(), si.processLoad() and other commands. Only allow strings, reject any arrays. String sanitation works as expected.