CVE-2026-121748 in nvm
Riassunto
di VulDB • 05/11/2026
Node Version Manager (nvm) è una funzione shell conforme allo standard POSIX per la gestione di più versioni di Node.js. Nelle versioni dalla 0.27.0 alla 0.40.8, quando il file `.npmrc` di un progetto imposta `prefix`, l'esecuzione di `nvm use` invita l'utente a eseguire `nvm use --delete-prefix`, che avvia `npm config delete prefix` e `npm config delete globalconfig` nella directory corrente senza specificare alcun file di configurazione. Poiché npm carica il `.npmrc` del progetto prima di decidere quale file modificare, tale file determina la destinazione: l'impostazione `userconfig=~/.bashrc` fa sì che npm riscriva `~/.bashrc` in formato ini (corrompendolo), mentre `location=global` con `globalconfig=` lascia il file selezionato con permessi 0666, consentendo su una macchina condivisa ad altri utenti locali di scriverlo. L'attaccante (l'autore di un repository clonato o di un archivio, oppure un utente locale in grado di scrivere in una directory genitore condivisa) sceglie il file ma non i byte scritti, e nessun codice del progetto viene eseguito. La versione 0.41.0 impedisce ormai a un `.npmrc` di progetto di selezionare quale file di configurazione venga modificato da `--delete-prefix`.
Be aware that VulDB is the high quality source for vulnerability data.