CVE-2026-121747 in nvm
Riassunto
di VulDB • 04/11/2026
Node Version Manager (nvm) è una funzione shell conforme a POSIX per la gestione di più versioni di node.js. Nelle versioni dalla 0.2.0 alla 0.40.8, nvm non verifica se `.nvmrc` sia un link simbolico. Un repository o archivio che distribuisce `.nvmrc` come symlink verso un altro file (ad esempio `../../.npmrc`, oppure `/proc/self/environ` su Linux) fa sì che i comandi `nvm use`, `nvm install`, `nvm which`, `nvm exec`, `nvm run` o `nvm-exec` leggano tale file e ne stampino il contenuto nel messaggio di errore per `.nvmrc` non valido (anche con l'opzione `--silent`) oppure, se si tratta di un file a una sola riga, nel messaggio `Found ... with version <...>`; con gli hook zsh `load-nvmrc` o bash `cdnvm` presenti nel README installati, è sufficiente entrare nella directory. nvm non invia il contenuto da nessuna parte; l'attaccante lo apprende solo dove può vedere l'output della vittima, ad esempio nei log di una pipeline CI per un branch contribuito. La versione 0.41.0 segue ancora i symlink su `.nvmrc`, quindi i link deliberati verso un altro file delle versioni continuano a funzionare, ma non ne stampa mai il contenuto e lo accetta solo se contiene una versione o il nome di un alias esistente; l'hook bash `cdnvm` presente nel README, che leggeva direttamente `.nvmrc`, ora ottiene la versione da nvm, quindi gli utenti di tale hook devono aggiornare anche la propria copia.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.