CVE-2026-94185 in nvm
Zusammenfassung
von VulDB • 21.09.2026
nvm löst eine angeforderte Version oder einen Alias auf, indem es diese als Dateiname unter $NVM_DIR/alias behandelt. Vor Version 0.40.8 hat nvm_alias() den angeforderten Namen an dieses Verzeichnis angehängt und das Ergebnis ohne Überprüfung der Eingrenzung gelesen; daher führte ein Name mit einer `..`-Komponente aus dem Alias-Verzeichnis heraus; bei der Standardstruktur löst sich beispielsweise ein Alias wie `../../.npmrc` zu einer Datei im Home-Verzeichnis des Benutzers auf. nvm_print_alias_file() gibt dann jede nicht-kommentierte, nicht-leere Zeile der geöffneten Datei aus. Eine Versionszeichenkette aus einer unzuverlässigen .nvmrc erreicht diesen Pfad; daher offenbart ein Entwickler, der `nvm use`, `nvm install` oder `nvm which` in einem vom Angreifer bereitgestellten Repository ausführt, die erste nicht-kommentierte Zeile einer beliebigen Datei, die für diesen Benutzer lesbar ist, in der daraus resultierenden Fehlermeldung „ist noch nicht installiert“. Ein benutzergestellter Befehl `nvm alias <traversing-name>` offenbart jede nicht-kommentierte Zeile der Zieldatei. Es gibt keine Auswirkungen auf Integrität oder Verfügbarkeit und keine Codeausführung über diesen Pfad.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.