Vulnerabilidad alta en la librería systeminformation de Node.js
Recientemente se ha identificado una nueva vulnerabilidad en el entorno de ejecución Node.js, esta falla se origina específicamente en una función de la paquetería Systeminformation. Esta paquetería contiene librerías encargadas de recopilar información del sistema incluyendo información del espacio en disco, del uso de memoria e información sobre procesos en ejecución. Esta vulnerabilidad fue registrada con el identificador CVE-2025-68154 y se le asigno una puntuación de CVSS de 7.5, lo que la convierte en una falla de criticidad alta.
La función vulnerable de la paquetería Systeminformation es fsSize (), la cual es utilizada para recopilar información detallada de los sistemas de archivos, particiones en disco, espacio utilizado, espacio disponible etc. El problema en este caso se origina por validaciones insuficiente de seguridad y falta de sanitización de los comandos de entrada, esto podría permitir que autores de amenazas traten de explotar esta vulnerabilidad para inyectar y ejecutar código arbitrario, moverse lateralmente en los sistemas y redes comprometidas, acceso a información crítica, exfiltración de información o hasta el despliegue de malwares o ransomwares.
Para lograr explotar la vulnerabilidad con éxito los atacantes deben de enviar comandos de entrada especialmente diseñados con la utilización de la función fsSize () para provocar que el sistema no valide correctamente los datos y aun así ejecute la solicitud. Este CVE afecta y pone en riesgo principalmente a aplicaciones web, APIs, herramientas de monitoreo y herramientas CLI debido a que los usuarios pueden enviar comandos de entrada y así aprovecharse de la vulnerabilidad.
También es de suma importancia mencionar que esta falla en la paquetería systeminformation vuelve aún más vulnerable a las herramientas basadas en Windows por lo que es de suma importancia actualizar a las versiones parcheadas para mitigar los riesgos.
Versiones Afectadas
| Producto | Versión afectada | Versión parcheada |
| Paquetería systeminformation de Node.js | Todas las versiones menores a 5.27.13 | 5.27.14 o posteriores. |
Recomendaciones
- En caso de contar con alguna de las versiones afectadas por la vulnerabilidad siga las recomendaciones y actualice a la versión parcheada 5.27.14.
- Establecer controles de acceso SSH basados en la red para minimizar el riesgo de ataque
- Auditar herramientas de acceso remoto. (NIST CSF, 2024)
- Revisar logs para de ejecución de software de acceso remoto. (NIST CSF, 2024)
- Limitar estrictamente el uso de los protocolos SMB y RDP.
- Realizar auditorías de seguridad. (NIST CSF, 2024)
- Deshabilitar los servicios y procesos no requeridos para reducir los vectores de ataque. (NIST CSF, 2024)
- Tener filtros de correo electrónico y spam.
- Concientizar a los empleados sobre los métodos de Phishing e Ingeniería social.
- Realizar copias de seguridad, respaldos o back-ups constantemente.
- Mantener los respaldos desconectados de la red de la organización, verificando constantemente la confidencialidad, integridad y disponibilidad de estos.
- Revisar continuamente los privilegios de los usuarios.
- Tener una solución EDR robusta configurada adecuadamente basada en las mejores prácticas (de acuerdo con documentación de fabricante).
- Habilitar la autenticación multifactor.
Referencias
- Divya. (2025, Diciembre 18). Critical Node.js Library Flaw Lets Hackers Execute Remote Commands on Windows. GBHackers Security | #1 Globally Trusted Cyber Security News Platform. Recuperado el 18 de Diciembre de 2025, en: https://gbhackers.com/critical-node-js-library-flaw/
- Abinaya. (2025, Diciembre 18). Critical Vulnerability in Popular Node.js Library Exposes Windows Systems to RCE Attacks. Cyber Security News. Recuperado el 18 de Diciembre de 2025, en: https://cybersecuritynews.com/node-js-library-exposes-windows/
- Ddos. (2025, Diciembre 18). Node.js Alert: systeminformation Flaw Risks Windows RCE for 16M+ Monthly Users. Daily CyberSecurity. Recuperado el 18 de Diciembre de 2025, en: https://securityonline.info/node-js-alert-systeminformation-flaw-risks-windows-rce-for-16m-monthly-users/
