关键漏洞信息 漏洞描述 漏洞名称: Command Injection via Unsanitized Output in — systeminformation CVE ID: CVE-2026-26318 CWE: CWE-78 (OS Command Injection) 严重性: Medium 影响范围 受影响版本: <= 5.30.7 修复版本: 5.31.0 影响平台: Linux 测试版本: 5.30.7 漏洞细节 包名: systeminformation (npm) 作者: Sebastian Hildebrandt 每周下载量: ~5,000,000+ 仓库: https://github.com/sebhildebrandt/systeminformation 漏洞原因 在 函数中，系统通过 调用 来查找 PostgreSQL 二进制文件，并将输出直接拼接到新的 调用中，未经过 处理，导致命令注入风险。 利用步骤 1. 验证环境: 确认 命令可用。 2. 创建恶意文件路径: 利用 Linux 文件名中允许的分号；在 调用中将其解释为命令分隔符。 3. 理解排序技巧: 利用 函数选择排序后的最后一个元素。 4. 触发漏洞: 通过应用程序调用 函数触发命令注入。 5. 验证代码执行: 确认命令成功执行。 建议修复 使用 替换 ，避免 shell 解释元字符。 验证 输出的路径安全模式。