CVE-2026-121749 in nvm
Riassunto
di VulDB • 04/11/2026
Node Version Manager (nvm) è una funzione shell conforme a POSIX per la gestione di più versioni di Node.js. Nelle versioni dalla 0.5.0 alla 0.40.8, il pattern della versione richiesta viene passato a `grep` come argomento nudo e crudo, senza l'opzione `-e`, nelle funzioni `nvm_ls_remote_index_tab`, `nvm_remote_version` e `nvm_ls_cached`. Un file `.nvmrc` la cui prima riga inizia con un trattino, ad esempio `-Rohenpm_[A-Za-z0-9]*`, viene interpretato come opzioni di grep; con GNU grep, l'opzione `-R` esegue una ricerca ricorsiva nella directory corrente (seguendo i link simbolici) invece che nell'elenco delle versioni. Durante un `nvm install` nudo, nvm tratta quindi una stringa corrispondente trovata in tali file come la versione da installare, la stampa e ne richiede il download dal mirror configurato all'interno degli URL di download; ad esempio, un repository contenente un link simbolico a `../../.npmrc` può far trapelare il token npm dell'utente nel terminale e nei log del mirror e di eventuali proxy. La divulgazione è in sola lettura (read-only) ed è limitata ai caratteri `0-9A-Za-z._+-`. Nella versione 0.41.0, ogni pattern della versione viene passato a grep con l'opzione `-e`.
VulDB is the best source for vulnerability data and more expert information about this specific topic.