PT-2026-60366
CVE-2026-50289
·
تاريخ النشر
2026-07-15
·
تاريخ التحديث
2026-10-05
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات systeminformation الأقدم من 5.31.7
الوصف
في نظام لينكس، تكون الدالة
networkInterfaces() عرضة لحقن أوامر نظام التشغيل. تحدث المشكلة عندما تعالج المكتبة توجيه المصدر interfaces(5) الخاص بنظامي Debian/Ubuntu. وعلى وجه التحديد، تقوم الدالة checkLinuxDCHPInterfaces() الموجودة في ملف lib/network.js بقراءة ملف /etc/network/interfaces، واستخراج رمز المسار من توجيه source، وإدراجه دون علامات اقتباس في أمر شل يتم تنفيذه عبر الدالة execSync(). يمكن للمهاجم القادر على التأثير على محتوى ملف التكوين interfaces(5) أو أي ملف يتم استدعاؤه منه حقن أحرف خاصة بشل في المسار، مما يؤدي إلى تنفيذ أوامر تعسفية بامتيازات عملية Node.js. يمكن الوصول إلى هذه الثغرة الأمنية أيضًا من خلال getStaticData() وgetAllData().التوصيات
قم بتحديث systeminformation إلى الإصدار 5.31.7 أو أحدث.
كحل مؤقت، قم بتقييد حق الوصول للكتابة إلى
/etc/network/interfaces وأي دلائل يتم استدعاؤها منه لمنع التعديل غير المصرح به لملفات التكوين. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾