CVE-2026-121747
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
W nvm w wersjach 0.2.0 do 0.40.8 nie sprawdzano, czy plik .nvmrc jest dowiązaniem symbolicznym. Repozytorium lub archiwum zawierające .nvmrc jako dowiązanie do innego pliku (np. ../../.npmrc lub /proc/self/environ) powodowało, że polecenia nvm use, install, which, exec, run lub nvm-exec odczytywały ten plik i wypisywały jego zawartość w komunikacie o błędzie, co atakujący mógł odczytać np. w logu CI.
Ocena ryzyka
Może prowadzić do wycieku poufnych danych z plików, do których ofiara ma dostęp, szczególnie w środowiskach CI/CD.
Rekomendacja
Zaktualizuj nvm do wersji 0.41.0 lub nowszej oraz zaktualizuj kopię hooka cdnvm w README, jeśli jest używana.
Inne podatności w nvm
Zobacz wszystkie- CVE-2026-121746Średnie
W nvm w wersjach 0.40.0 do 0.40.8 polecenia nvm use --save i nvm install --save (lub -w) zapisywały wersję do $PWD/.nvmrc za pomocą tee, który podąża za dowiązaniem symbolicznym. Repozytorium z .nvmrc jako dowiązaniem do ścieżki poza sobą powodowało obcięcie dowolnego pliku zapisywalnego przez użytkownika (np. pliku startowego powłoki lub ~/.ssh/authorized_keys) i zastąpienie jego zawartości ciągiem wersji.
- CVE-2026-118905Wysokie
W nvm w wersjach 0.31.2 do 0.40.5 funkcja nvm_ls filtruje zainstalowane wersje programem sed, który osadza wzorzec wersji w adresie \#...#, eskalując kropkę i #, ale nie backslash. Ciąg wersji zawierający # zamyka adres przedwcześnie, a reszta jest interpretowana jako polecenia sed, co w GNU sed pozwala na wykonanie polecenia powłoki, a w BSD sed na zapis i odczyt plików.
- CVE-2026-94185Średnie
nvm przed wersją 0.40.8 podatny jest na path traversal w nvm_alias(), gdzie nazwa wersji lub aliasu traktowana jest jako ścieżka pod $NVM_DIR/alias bez sprawdzenia zawartości. Nazwa zawierająca '..' pozwala odczytać pierwszy niekomentarzowy wiersz dowolnego pliku czytelnego dla użytkownika, np. przez .nvmrc w niezaufanym repozytorium. Brak wpływu na integralność i dostępność, brak wykonania kodu.
- CVE-2026-15921Niskie
Podatność w Node Version Manager (nvm) w wersjach 0.32.1 do 0.40.5 pozwala na zapis pliku aliasu poza katalogiem $NVM_DIR/alias. Złośliwe lustro może zwrócić nazwę LTS zawierającą sekwencję typu "../../../.bashrc", co prowadzi do nadpisania plików startowych powłoki i potencjalnego wykonania kodu.
- CVE-2026-10796Wysokie
nvm (Node Version Manager) do wersji 0.40.4 wykonuje dowolne polecenia z ciągów wersji dostarczonych przez skonfigurowane lustro Node.js/io.js. Atakujący kontrolujący lustro lub przeprowadzający atak man-in-the-middle na niezabezpieczone połączenie może uruchomić dowolne polecenia w systemie ofiary.
Oryginalny opis (angielski, źródło NVD)
Node Version Manager (nvm) is a POSIX-compliant shell function for managing multiple node.js versions. In versions 0.2.0 through 0.40.8, nvm does not check whether `.nvmrc` is a symbolic link. A repository or archive that ships `.nvmrc` as a symlink to another file (for example `../../.npmrc`, or `/proc/self/environ` on Linux) makes a plain `nvm use`, `nvm install`, `nvm which`, `nvm exec`, `nvm run`, or `nvm-exec` read that file and print its contents in the invalid-`.nvmrc` message (even with `--silent`) or, for a one-line file, in the `Found ... with version <...>` message; with the README's zsh `load-nvmrc` or bash `cdnvm` hook installed, entering the directory is enough. nvm sends the content nowhere; the attacker learns it only where they can see the victim's output, such as a CI log for a contributed branch. Version 0.41.0 still follows a symlinked `.nvmrc`, so deliberate links to another version file keep working, but never prints its content, and accepts it only if it contains a version or the name of an existing alias; the README's bash `cdnvm` hook, which read `.nvmrc` itself, now gets the version from nvm, so users of that hook must also update their copy of it.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS