🇰🇷 한글 설명
systeminformation은 Node.js를 위한 시스템 및 OS 정보 라이브러리입니다. 5.31.0 미만 버전에서 versions() 함수 호출 시 검증되지 않은 locate 출력값으로 인해 커맨드 인젝션 취약점이 발생할 수 있습니다.
💡 쉬운 설명
컴퓨터 정보를 알려주는 프로그램이 외부 명령어를 잘못 처리하여 해커가 몰래 명령을 실행할 수 있는 문제입니다. 이로 인해 시스템 제어권을 탈취당할 위험이 있습니다.
🇺🇸 원문 (English)
systeminformation is a System and OS information library for node.js. Versions prior to 5.31.0 are vulnerable to command injection via unsanitized `locate` output in `versions()`. Version 5.31.0 fixes the issue.
📍 영향받는 시스템
systeminformation library versions prior to 5.31.0
⚔️ 공격 벡터
versions() 함수 내에서 처리되는 unsanitized locate 출력값을 이용한 커맨드 인젝션
🛡️ 대응 방법
systeminformation 라이브러리를 5.31.0 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 5.31.0 미만이면 취약한 상태입니다.
npm list systeminformation | grep -E 'systeminformation@'