CVE-2021-21315
高已发布
命令注入漏洞
- 已发布
- 2021年2月16日
- 已更新
- 2025年10月21日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2022年1月18日
初级CVSS
7.8/ 10高
nvd · CVSS 3.1
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H90.7%
高 · 未来 30 天
- 百分位
- 99.8%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
CISA 已知被利用
此 CVE 出现在 CISA 已知利用的漏洞目录中。
总结
适用于 Node.JS 的系统信息库（npm 包 "systeminformation"）是一个开源函数集合，用于检索详细的硬件、系统和操作系统信息。在 5.3.1 版本之前的 systeminformation 中存在一个命令注入漏洞。该问题已在 5.3.1 版本中修复。作为不升级的变通方案，请务必检查或清理传递给 si.inetLatency()、si.inetChecksite()、si.services()、si.processLoad() 的服务参数……只允许字符串，拒绝任何数组。字符串清理可按预期工作。
来源
5CVE 2021-21315 PoC
- CVE-2021-21315漏洞利用
Rust新手尝试用Rust编写简单的漏洞利用代码
systeminformation
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。