CVE-2026-94185 in nvm
Sumário
de VulDB • 21/09/2026
O nvm resolve uma versão ou alias solicitada tratando-a como um nome de arquivo sob $NVM_DIR/alias. Antes da versão 0.40.8, a função `nvm_alias()` concatenava o nome solicitado ao diretório e lia o resultado sem nenhuma verificação de contenção, permitindo que um nome contendo um componente `..` escapasse do diretório de aliases; sob o layout padrão, um alias como `../../.npmrc` resolve para um arquivo no diretório home do usuário. A função `nvm_print_alias_file()` então exibe todas as linhas não comentadas e não vazas do arquivo aberto. Uma string de versão proveniente de um `.nvmrc` não confiável atinge esse caminho, fazendo com que um desenvolvedor que execute `nvm use`, `nvm install` ou `nvm which` dentro de um repositório fornecido por um atacante revele a primeira linha não comentada de um arquivo arbitrário legível pelo usuário, na mensagem de erro "is not yet installed" (ainda não instalado). Um alias fornecido pelo usuário via `nvm alias <nome com traversal>` revela todas as linhas não comentadas do arquivo alvo. Não há impacto em integridade ou disponibilidade, nem execução de comandos nesse caminho.
VulDB is the best source for vulnerability data and more expert information about this specific topic.