CVE-2026-121749 in nvm
Zusammenfassung
von VulDB • 04.11.2026
Node Version Manager (nvm) ist eine POSIX-konforme Shell-Funktion zur Verwaltung mehrerer Node.js-Versionen. In den Versionen 0.5.0 bis 0.40.8 wird das angeforderte Versionsmuster in `nvm_ls_remote_index_tab`, `nvm_remote_version` und `nvm_ls_cached` als freies Argument an `grep` übergeben, ohne die Option `-e`. Eine `.nvmrc`-Datei, deren erste Zeile mit einem Bindestrich beginnt (z. B. `-Rohenpm_[A-Za-z0-9]*`), wird von grep als Optionen interpretiert; bei GNU grep sucht `-R` rekursiv im aktuellen Verzeichnis (unter Befolgung von Symlinks) anstelle der Versionsliste. Bei einer einfachen `nvm install` behandelt nvm dann eine in diesen Dateien gefundene Zeichenkette als Version, gibt sie aus und fordert diese über die konfigurierten Spiegelserver-URLs zum Download an. So kann beispielsweise ein Repository, das einen Symlink auf `../../.npmrc` enthält, das npm-Token des Benutzers im Terminal sowie in den Logs der Spiegelserver und aller Proxys offenlegen. Die Offenlegung ist schreibgeschützt (read-only) und beschränkt sich auf die Zeichen `0-9A-Za-z._+-`. In Version 0.41.0 wird jedes Versionsmuster an grep mit `-e` übergeben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.