There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - systeminformation is a System and OS information library for node.js. Prior to 5.33.16, services() in
    lib/processes.js inserts a caller-supplied service name into a PowerShell Get-CimInstance filter after
    processing it with sanitizeShellString() in lib/util.js. On Windows, the sanitizer removes ASCII quotes
    but permits Unicode quotation marks that PowerShell accepts as string delimiters, allowing crafted input
    to terminate the filter and place a PowerShell expression in the command executed by util.powerShell().
    The expression runs with the Node.js process account's permissions and may read or change accessible
    files, alter application data, or disrupt the service. The package does not expose a network service
    itself, so remote reachability depends on a consuming application forwarding attacker-controlled input to
    services() or getDynamicData(). This issue is fixed in version 5.33.16. (CVE-2026-116576)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - systeminformation 是用於 node.js 的系統和作業系統資訊庫。之前， 5.33.16lib/processes.js 中的 services（） 會在 lib/util.js 中使用 sanitizeShellString（） 處理呼叫端提供的服務名稱後，將其插入 PowerShell Get-CimInstance 篩選器中。在 Windows 上，清理程式會移除 ASCII 引號，但允許 PowerShell 接受的 Unicode 引號作為字串分隔符號，允許特製的輸入終止篩選器，並將 PowerShell 運算式放在 util.powerShell（） 執行的命令中。
    運算式以Node.js程序帳戶的權限執行，並可能讀取或變更可存取的檔案、變更應用程式資料或中斷服務。此套件不會公開網路服務本身，因此遠端連線能力取決於將攻擊者控制的輸入轉送至 services（） 或 getDynamicData（） 的消費應用程式。5.33.16 版已修正此問題。(CVE-2026-116576)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - systeminformation 是用于 node.js 的系统和 OS 信息库。之前， 5.33.16lib/processes.js 中的 services（） 在使用 lib/util.js 中的 sanitizeShellString（） 处理调用程序提供的服务名称后，将其插入到 PowerShell Get-CimInstance 过滤器中。在 Windows 中，审查器删除了 ASCII 引号，但允许 PowerShell 接受 Unicode 引号作为字符串分隔符，从而允许构建的输入终止过滤器并在 util.powerShell（） 执行的命令中放置 PowerShell 表达式。
    表达式以Node.js进程帐户的权限运行，并可能读取或更改可访问的文件、更改应用程序数据或中断服务。该程序包本身不会暴露网络服务，因此远程可访问性取决于将攻击者控制的输入转发到 services（） 或 getDynamicData（） 的使用应用程序。此问题已在 5.33.16 版本中修复。(CVE-2026-116576)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - systeminformation は、node.js 用のシステムおよび OS 情報ライブラリです。5.33.16の前に、lib/processes.jsのservices()は、呼び出し元が指定したサービス名をlib/util.jsのsanitizeShellString()で処理した後、PowerShell Get-CimInstanceフィルターに挿入します。Windows では、サニタイザーによって ASCII 引用符は削除されますが、PowerShell が文字列区切り記号として受け入れる Unicode 引用符は許可されるため、細工された入力によってフィルターが終了し、util.powerShell() によって実行されるコマンドに PowerShell 式が配置される可能性があります。
    式はNode.jsプロセスアカウントのアクセス許可で実行され、アクセス可能なファイルの読み取りまたは変更、アプリケーションデータの変更、サービスの中断を行う可能性があります。パッケージはネットワークサービス自体を公開しないため、リモート到達可能性は、攻撃者が制御する入力をservices()またはgetDynamicData()に転送する消費アプリケーションに依存します。この問題はバージョン 5.33.16 で修正されています。(CVE-2026-116576)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - systeminformation is a System and OS information library for node.js. Prior to 5.33.16, services() in     lib/processes.js inserts a caller-supplied service name into a PowerShell Get-CimInstance filter after     processing it with sanitizeShellString() in lib/util.js. On Windows, the sanitizer removes ASCII quotes     but permits Unicode quotation marks that PowerShell accepts as string delimiters, allowing crafted input     to terminate the filter and place a PowerShell expression in the command executed by util.powerShell().
    The expression runs with the Node.js process account's permissions and may read or change accessible     files, alter application data, or disrupt the service. The package does not expose a network service     itself, so remote reachability depends on a consuming application forwarding attacker-controlled input to     services() or getDynamicData(). This issue is fixed in version 5.33.16. (CVE-2026-116576)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
477765	SCA: security update for systeminformation (GHSA-3f7j-7jwc-fxfj)	Tenable Self-Hosted Container Security	SCA Checks	10/29/2026	10/29/2026	high
477958	Chainguard: homepage: security update to 2.7.0-r1	Tenable Self-Hosted Container Security	Chainguard Local Security Checks	10/30/2026	10/30/2026	high
477765	SCA: security update for systeminformation (GHSA-3f7j-7jwc-fxfj)	Tenable Cloud Security	SCA Checks	10/29/2026	10/29/2026	high
477958	Chainguard: homepage: security update to 2.7.0-r1	Tenable Cloud Security	Chainguard Local Security Checks	10/30/2026	10/30/2026	high
373007	Linux Distros 未修補弱點：CVE-2026-116576	Nessus	Misc.	10/28/2026	10/29/2026	high
373007	Linux Distros 未修补的漏洞：CVE-2026-116576	Nessus	Misc.	10/28/2026	10/29/2026	high
373007	Linux Distros のパッチ未適用の脆弱性: CVE-2026-116576	Nessus	Misc.	10/28/2026	10/29/2026	high
373007	Linux Distros Unpatched Vulnerability : CVE-2026-116576	Nessus	Misc.	10/28/2026	10/29/2026	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high