CVE-2026-94185 in nvm
要約
〜によって VulDB • 2026年09月21日
nvm は、要求されたバージョンまたはエイリアスを $NVM_DIR/alias 内のファイル名として扱うことで解決します。0.40.8 より前の nvm_alias() では、要求された名前をそのディレクトリに連結し、制限チェックなしで結果を読み取っていたため、`..` コンポーネントを含む名前はエイリアスディレクトリから脱出しました。デフォルトのレイアウトでは、`../../.npmrc` のようなエイリアスがユーザーのホームディレクトリのファイルに解決されます。その後 nvm_print_alias_file() は、開かれたファイル内のすべての非コメントかつ空でない行を出力します。信頼できない .nvmrc から取得したバージョン文字列がこのパスに到達するため、攻撃者が提供したリポジトリ内で `nvm use`、`nvm install`、または `nvm which` を実行する開発者は、「まだインストールされていません」というエラーメッセージ内に、そのユーザーが読み取り可能な任意のファイルの最初の非コメント行を漏洩させます。ユーザーが入力した `nvm alias <traversing-name>` は、対象ファイル内のすべての非コメント行を漏洩させます。整合性や可用性への影響はなく、このパスでのコマンド実行もありません。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.