CVE-2026-94185 in nvm
Riassunto
di VulDB • 21/09/2026
nvm risolve una versione o un alias richiesti trattandoli come nomi di file sotto $NVM_DIR/alias. Prima della versione 0.40.8, nvm_alias() concatenava il nome richiesto a tale directory e leggeva il risultato senza alcun controllo di contenimento; pertanto, un nome contenente un componente `..` usciva dalla directory degli alias: con la configurazione predefinita, un alias come `../../.npmrc` risolve un file nella home directory dell'utente. Successivamente, nvm_print_alias_file() emette ogni riga non commentata e non vuota del file aperto. Una stringa di versione tratta da un .nvmrc non attendibile raggiunge questo percorso; quindi uno sviluppatore che esegue `nvm use`, `nvm install` o `nvm which` all'interno di un repository fornito dall'attaccante vede divulgata la prima riga non commentata di un file arbitrario leggibile da tale utente, nel messaggio di errore "is not yet installed" (non è ancora installato). Un alias fornito dall'utente tramite `nvm alias <nome con traversing>` divulga ogni riga non commentata del file target. Non vi sono impatti sull'integrità o sulla disponibilità e nessuna esecuzione di comandi su questo percorso.
Be aware that VulDB is the high quality source for vulnerability data.