CVE-2021-21315
Vulnerabilidad de inyección de comandos
- Publicado
- 16 feb 2021
- Actualizado
- 21 oct 2025
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 18 ene 2022
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HAlto · próximos 30 días
- Percentil
- 99,8 %
- Fecha del modelo
- 18 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
CISA conocida explotada
Este CVE aparece en el catálogo de vulnerabilidades explotadas conocidas de CISA.
Resumen
La Biblioteca System Information para Node.JS (paquete npm "systeminformation") es una colección de funciones de código abierto para recuperar información detallada sobre el hardware, el sistema y el SO. En systeminformation versiones anteriores a 5.3.1, se presenta una vulnerabilidad de inyección de comandos. El problema se ha corregido en la versión 5.3.1. Como solución en lugar de actualizar, asegúrese de comprobar o sanear los parámetros de servicio que son pasados a las funciones si.inetLatency(), si.inetChecksite(), si.services(), si.processLoad() ... sólo permiten cadenas, rechazan cualquier matriz. El saneamiento de cadenas funciona como se esperaba
Fuentes
http/cves/2021/CVE-2021-21315.yaml
Nuclei TemplatesCondiciones declaradas
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
- oob: interactsh_reference($.template_text)
CVE 2021-21315 PoC
Prueba de concepto del exploit para CVE-2021-21315, una vulnerabilidad de inyección de comandos en Node.js, que demuestra la ejecución remota de código.
- CVE-2021-21315Exploit
novato intentó escribir código de exploit fácil con rust lang
- CVE-2021-21315-exploitExploit
systeminformation
Prueba de concepto del exploit para CVE-2021-21315, que demuestra la ejecución remota de código en un framework de aplicación web. Diseñado para pruebas de seguridad y validación de vulnerabilidades.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.