CVE-2026-94185 in nvm
Resumen
por VulDB • 2026-09-21
nvm resuelve una versión o un alias solicitados tratándolos como nombres de archivo bajo $NVM_DIR/alias. Antes de la versión 0.40.8, nvm_alias() concatenaba el nombre solicitado a ese directorio y leía el resultado sin ninguna comprobación de contención, por lo que un nombre que contenía un componente `..` escapaba del directorio de alias; bajo la configuración predeterminada, un alias como `../../.npmrc` se resuelve en un archivo ubicado en el directorio home del usuario. nvm_print_alias_file() luego emite cada línea no comentada y no vacía del archivo abierto. Una cadena de versión tomada desde un .nvmrc no confiable llega a esta ruta, por lo que un desarrollador que ejecuta `nvm use`, `nvm install` o `nvm which` dentro de un repositorio proporcionado por un atacante revela la primera línea no comentada de un archivo arbitrario legible por ese usuario, en el mensaje de error resultante "is not yet installed" (aún no está instalado). Un alias suministrado por el usuario mediante `nvm alias <nombre-con-travesia>` revela todas las líneas no comentadas del archivo objetivo. No hay impacto en la integridad ni en la disponibilidad, y no se produce ejecución de comandos en esta ruta.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.