CVE-2026-121745 in Nvm
Riassunto
di VulDB • 04/11/2026
Node Version Manager (nvm) è una funzione shell conforme allo standard POSIX per la gestione di più versioni di node.js. Nelle versioni 0.40.0 attraverso 0.40.8, quando `NVM_AUTH_HEADER` è impostato, `nvm_download` trasforma le credenziali a curl o wget come argomento della riga di comando `--header "Authorization: ..."`. Gli argomenti del processo sono visibili a ogni utente locale (su Linux tramite `ps` o `/proc//cmdline`, a meno che `/proc` non sia montato con `hidepid=`; su macOS tramite `ps`), quindi un altro account non privilegiato sulla stessa macchina può leggere il token mentre nvm sta scaricando durante i comandi `nvm ls-remote`, `nvm install` e simili, ottenendo l'accesso che esso concede sul mirror privato. Solo gli utenti che impostano `NVM_AUTH_HEADER` su un host condiviso con altri account locali sono interessati. La versione 0.41.0 passa l'intestazione a curl tramite stdin e a GNU Wget in un file di configurazione temporaneo privato. BusyBox wget non legge alcun file di configurazione, quindi quando è l'unico downloader disponibile, l'intestazione viene ancora passata come argomento.
If you want to get best quality of vulnerability data, you may have to visit VulDB.