CVE-2026-94185
ŚrednieCVSS 5.5Streszczenie
nvm przed wersją 0.40.8 podatny jest na path traversal w nvm_alias(), gdzie nazwa wersji lub aliasu traktowana jest jako ścieżka pod $NVM_DIR/alias bez sprawdzenia zawartości. Nazwa zawierająca '..' pozwala odczytać pierwszy niekomentarzowy wiersz dowolnego pliku czytelnego dla użytkownika, np. przez .nvmrc w niezaufanym repozytorium. Brak wpływu na integralność i dostępność, brak wykonania kodu.
Ocena ryzyka
Deweloper uruchamiający 'nvm use', 'nvm install' lub 'nvm which' w niezaufanym repozytorium może ujawnić zawartość wrażliwych plików (np. .npmrc) w komunikacie błędu. Ryzyko dotyczy wycieku informacji, nie wykonania kodu.
Rekomendacja
Zaktualizuj nvm do wersji 0.40.8 lub nowszej. Unikaj uruchamiania poleceń nvm w niezaufanych repozytoriach do czasu aktualizacji.
Inne podatności w nvm
Zobacz wszystkie- CVE-2026-15921Niskie
Podatność w Node Version Manager (nvm) w wersjach 0.32.1 do 0.40.5 pozwala na zapis pliku aliasu poza katalogiem $NVM_DIR/alias. Złośliwe lustro może zwrócić nazwę LTS zawierającą sekwencję typu "../../../.bashrc", co prowadzi do nadpisania plików startowych powłoki i potencjalnego wykonania kodu.
- CVE-2026-10796Wysokie
nvm (Node Version Manager) do wersji 0.40.4 wykonuje dowolne polecenia z ciągów wersji dostarczonych przez skonfigurowane lustro Node.js/io.js. Atakujący kontrolujący lustro lub przeprowadzający atak man-in-the-middle na niezabezpieczone połączenie może uruchomić dowolne polecenia w systemie ofiary.
Oryginalny opis (angielski, źródło NVD)
nvm resolves a requested version or alias by treating it as a filename under $NVM_DIR/alias. Before 0.40.8, nvm_alias() concatenated the requested name onto that directory and read the result with no containment check, so a name containing a `..` component escaped the alias directory; under the default layout an alias such as `../../.npmrc` resolves to a file in the user's home directory. nvm_print_alias_file() then emits every non-comment, non-empty line of whatever was opened. A version string taken from an untrusted .nvmrc reaches this path, so a developer who runs `nvm use`, `nvm install`, or `nvm which` inside an attacker-supplied repository discloses the first non-comment line of an arbitrary file readable by that user, in the resulting "is not yet installed" error message. A user-supplied `nvm alias <traversing-name>` discloses every non-comment line of the target file. There is no integrity or availability impact, and no command execution on this path.