Dans systeminformation avant 5.33.16, la fonction services() permet, sous Windows, d’injecter une expression PowerShell à partir d’un nom de service contrôlé par l’appelant. L’expression s’exécute avec les permissions du processus Node.js ; mettre à jour vers la version 5.33.16 ou ultérieure, et vérifier si une application transmet à cette fonction des données non fiables.
Source : CVE-2026-116576 — NVD
Analyse technique
Le filtrage de caractères ASCII dans sanitizeShellString() laisse passer des guillemets Unicode interprétés comme délimiteurs par PowerShell. La bibliothèque n’expose pas elle-même de service réseau ; l’accessibilité à distance dépend de l’application qui l’utilise.
Impact, versions et correctif
Détection / vérification
Vérifier les dépendances Node.js utilisant systeminformation et rechercher les versions antérieures à 5.33.16; examiner l’usage de services() et getDynamicData() avec des données contrôlables par un attaquant sous Windows.
Action recommandée
Mettre systeminformation à niveau vers la version 5.33.16 ou ultérieure. Examiner les appels à services() et getDynamicData() qui pourraient recevoir des entrées contrôlées par un utilisateur.
Sources
Priorisation DFS : P3 · 1 source(s).