CVE-2026-116576

systeminformation node.js üçün Sistem və Əməliyyat Sistemi məlumatları kitabxanasıdır. 5.33.16 versiyasından əvvəl, lib/processes.js faylındakı services() funksiyası, çağırıcı tərəfindən təmin edilən servis adını lib/util.js faylındakı sanitizeShellString() ilə emal etdikdən sonra PowerShell Get-CimInstance filtrinə daxil edir. Windows əməliyyat sistemində sanitarlaşdırıcı ASCII dırnaq işarələrini silir, lakin PowerShell-in sətir ayırıcısı kimi qəbul etdiyi Unicode dırnaq işarələrinə icazə verir; bu isə xüsusi hazırlanmış girişin filtri sonlandırmasına və util.powerShell() tərəfindən icra edilən əmrə PowerShell ifadəsinin yerləşdirilməsinə şərait yaradır. İfade Node.js proses hesabının imtiyazları ilə icra olunur və əlçatan faylları oxuya və ya dəyişdirə, tətbiq məlumatlarını pozaraq xidmətin işini dayandıra bilər. Paket özü şəbəkə xidməti təqdim etmir, buna görə də uzaqdan əlçatanlıq istifadəçi tətbiqinin hücumçu tərəfindən idarə olunan girişi services() və ya getDynamicData() funksiyalarına ötürməsindən asılıdır. Bu problem 5.33.16 versiyasında düzəldilmişdir.