Node.js系统信息包systeminformation被发现存在一个严重的命令注入漏洞(CVE-2024-56334)，该漏洞影响5.23.6及以下版本，月下载量超800万。攻击者可通过构造恶意Wi-Fi热点，在SSID中嵌入恶意命令，当受影响系统连接该网络并调用getWindowsIEEE8021x函数时，即可执行任意操作系统命令，从而可能导致远程代码执行或权限升级。该漏洞由安全研究人员xAiluros发现，并已通过在Windows服务中提升权限演示了潜在影响。目前，该信息包的维护者已发布5.23.7版本修复此漏洞，强烈建议用户立即更新。

⚠️ **漏洞概述:** Node.js的systeminformation包存在命令注入漏洞(CVE-2024-56334)，允许攻击者执行任意操作系统命令。

📡 **漏洞原理:** 该漏洞源于`getWindowsIEEE8021x`函数未对网络SSID进行充分消毒，攻击者可在SSID中嵌入恶意命令。

🛡️ **攻击方式:** 攻击者可创建带有恶意SSID的Wi-Fi热点，当受影响系统连接时，嵌入的命令将被执行，可能导致RCE或权限提升。

🔥 **影响范围:** `systeminformation` 5.23.6及以下版本均受影响，月下载量超800万，总下载量达3.3亿次。

✅ **修复方案:** 维护者已发布5.23.7版本修复此漏洞，强烈建议所有用户立即更新。

在广泛使用的 Node.js 系统信息包中发现了一个严重的命令注入漏洞 (CVE-2024-56334)，该信息包的月下载量超过 800 万次，总下载量达到惊人的 3.3 亿次。该漏洞可允许攻击者执行任意操作系统命令，根据软件包的使用情况，有可能导致远程代码执行（RCE）或权限升级。该漏洞源于获取网络 SSID 信息的 getWindowsIEEE8021x 函数中的命令注入漏洞。该函数在将 SSID 作为参数传递给 cmd.exe 之前，未能对其进行正确的消毒。因此，攻击者可以在 Wi-Fi 网络的 SSID 中嵌入恶意命令，然后在调用 getWindowsIEEE8021x 函数时在易受攻击的系统上执行这些命令。安全研究人员 xAiluros 发现了 CVE-2024-56334 漏洞，并通过在 Windows 服务中提升权限演示了该漏洞的潜在影响。攻击者可以通过创建一个带有恶意 SSID 的 Wi-Fi 热点来利用这个漏洞。当有漏洞的系统连接到该网络时，攻击者嵌入在 SSID 中的命令就会被执行，从而可能导致远程代码执行或权限升级。两个有效载荷示例展示了利用的可能性：无限泛洪 PingSSID: a” | ping /t 127.0.0.1 &执行恶意文件SSID: a” | %SystemDrive%\a\a.exe &连接到恶意 Wi-Fi 网络后，在使用软件包的应用程序中执行易受攻击的函数，例如：const si = require('systeminformation'); si.networkInterfaces((net) => { console.log(net) });就能触发攻击，在受害者机器上运行有效载荷。systeminformation “5.23.6（含 5.23.6）以下版本受此漏洞影响。维护者已发布 5.23.7 版，解决了这一问题。强烈建议该软件包的所有用户立即更新到最新版本。