JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-026028 systeminformation は node.js 向けのシステムおよび OS 情報ライブラリです。バージョン 5.31.7 以前の Linux 環境において、networkInterfaces() は Debian/Ubuntu の interfaces(5) ファイル内の source ディレクティブを通じて OS コマンドインジェクションの脆弱性を含んでいます。これは lib/network.js の checkLinuxDCHPInterfaces() 関数が /etc/network/interfaces を読み込み、ファイル内容から source ＜path＞ トークンを抽出し、それを引用符なしで cat ${file} 2＞ /dev/null | grep 'iface\|source' として execSync(cmd, util.execOptsLinux) により実行するためです。このため、シェルのメタキャラクタを含むパスが networkInterfaces() を呼び出すすべてのプロセス（getStaticData() や getAllData() を含む）でコマンドを実行してしまう可能性があります。本問題はバージョン 5.31.7 で修正されています。 cpe:/a:systeminformation:systeminformation https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-026028.html Common Vulnerabilities and Exposures (CVE) CVE-2026-50289 https://www.cve.org/CVERecord?id=CVE-2026-50289 National Vulnerability Database (NVD) CVE-2026-50289 https://nvd.nist.gov/vuln/detail/CVE-2026-50289 GitHub systeminformation: OS command injection in networkInterfaces() via interfaces(5) source-directive path on Linux Advisory sebhildebrandt/systeminformation GitHub https://github.com/sebhildebrandt/systeminformation/security/advisories/GHSA-5xpp-75jx-m839 JVNDB CWE-78 https://jvndb.jvn.jp/ja/cwe/CWE-78.html 関連文書 Release v5.31.7 sebhildebrandt/systeminformation GitHub https://github.com/sebhildebrandt/systeminformation/releases/tag/v5.31.7 関連文書 networkInterfaces() fix unsanitized command (linux) sebhildebrandt/systeminformation@bbfddde GitHub https://github.com/sebhildebrandt/systeminformation/commit/bbfddde48672d0ee124fefdb3cb4442fd9dd4f03 2026-07-30T17:46:07+09:00 2026-07-30T17:46:07+09:00