CVE-2021-21315highbajo ataqueCWE-78

CVE-2021-21315: fallo de gravedad alta en sebhildebrandt systeminformation

Command Injection Vulnerability

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear systeminformation+ Monitorear System Information Library for Node.JS

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 7.1epss 91%
de la publicación al arma13 días
Publicada en NVD16 feb
1ª PoC+13d
CISA KEV+336d
Acción exigida por CISAplazo federal: 2022-02-01

Apply updates per vendor instructions.

En resumen

Una librería Node.js llamada 'systeminformation' permite que atacantes ejecuten comandos no autorizados en un servidor si se pasan datos no confiables a ciertas funciones como inetLatency() o services(). Esto ocurre porque la librería no valida correctamente la entrada del usuario antes de ejecutar comandos del sistema.

Detalle técnico

Vulnerabilidad de inyección de comandos en systeminformation <5.3.1 donde funciones (inetLatency, inetChecksite, services, processLoad) no sanitizan adecuadamente los parámetros antes de pasarlos a ejecución de comandos shell. La explotación requiere pasar parámetros en array o strings maliciosos a funciones vulnerables; el impacto incluye ejecución arbitraria de comandos con los privilegios del proceso Node.js. Se corrigió en versión 5.3.1 con validación apropiada de entrada.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

The System Information Library for Node.JS (npm package "systeminformation") is an open source collection of functions to retrieve detailed hardware, system and OS information. In systeminformation before version 5.3.1 there is a command injection vulnerability. Problem was fixed in version 5.3.1. As a workaround instead of upgrading, be sure to check or sanitize service parameters that are passed to si.inetLatency(), si.inetChecksite(), si.services(), si.processLoad() ... do only allow strings, reject any arrays. String sanitation works as expected.
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N
Productos afectados
sebhildebrandt · systeminformation
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — sebhildebrandt systeminformation

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-68154HIGHCommand Injection in fsSize() on WindowsEPSS 13.0%CVE-2020-26274MEDIUMCommand Injection Vulnerability in systeminformationEPSS 2.7%CVE-2020-26245HIGHPrototype Pollution leading to Command Injection in systeminformationEPSS 2.2%CVE-2023-42810CRITICALsysteminformation SSID Command Injection VulnerabilityEPSS 2.2%CVE-2026-50289HIGHsysteminformation: OS command injection in networkInterfaces() via interfaces(5) source-directive path on LinuxEPSS 2.2%CVE-2021-21388HIGHCommand Injection Vulnerability in systeminformationEPSS 1.9%