CVE-2026-94185 in nvm
요약
\~에 의해 VulDB • 2026. 09. 21.
nvm은 요청된 버전 또는 별칭을 $NVM_DIR/alias 하위의 파일명으로 처리하여 해결합니다. 0.40.8 이전 버전에서 nvm_alias()는 요청된 이름을 해당 디렉토리에 연결(concatenate)하고 제한 검사 없이 결과를 읽었으므로, `..` 구성 요소가 포함된 이름은 alias 디렉토리 밖으로 탈출했습니다. 기본 레이아웃 하에서 `../../.npmrc`와 같은 별칭은 사용자의 홈 디렉토리 내 파일로 해결됩니다. 그런 다음 nvm_print_alias_file()는 열린 파일의 모든 주석이 없고 빈 줄이 아닌 라인을 출력합니다. 신뢰할 수 없는 .nvmrc에서 가져온 버전 문자열이 이 경로에 도달하므로, 공격자가 제공한 저장소 내에서 `nvm use`, `nvm install` 또는 `nvm which`를 실행하는 개발자는 해당 사용자가 읽을 수 있는 임의 파일의 첫 번째 주석이 아닌 라인을 "아직 설치되지 않았습니다"라는 오류 메시지에 노출시킵니다. 사용자가 제공하는 `nvm alias <traversing-name>`은 대상 파일의 모든 주석이 없고 빈 줄이 아닌 라인을 노출시킵니다. 무결성 또는 가용성에 대한 영향은 없으며, 이 경로에서 명령 실행도 발생하지 않습니다.
Once again VulDB remains the best source for vulnerability data.