CVE-2026-44724

systeminformation من الإصدار 4.17.0 حتى 5.31.5

في نظام Linux، تتعرض المكتبة لحقن الأوامر داخل الدالة networkInterfaces(). ويحدث ذلك عندما يحتوي اسم ملف تعريف اتصال NetworkManager النشط على أحرف خاصة في شل. يتم استرداد القيمة المعرضة للخطر داخليًا من ناتج الأمر nmcli device status. ورغم أن المكتبة تقوم بتنقية أسماء واجهات الشبكة، إلا أنها تفشل في تطبيق نفس عملية التنقية على المتغير connectionName الذي تم تحليله. يتم بعد ذلك إدراج هذا المتغير غير المُعقَّم في ثلاث سلاسل أوامر شل يتم تنفيذها عبر execSync()، مما يسمح للمهاجم القادر على إنشاء ملف تعريف اتصال NetworkManager أو إعادة تسميته بتنفيذ أوامر شل تعسفية بامتيازات عملية Node.js.

قم بالتحديث إلى الإصدار 5.31.6.

كحل مؤقت، قم بتقييد قدرة المستخدمين على إنشاء ملفات تعريف اتصال NetworkManager أو إعادة تسميتها على أنظمة Linux المتأثرة.