Podatności nvm

nvm przed wersją 0.40.8 podatny jest na path traversal w nvm_alias(), gdzie nazwa wersji lub aliasu traktowana jest jako ścieżka pod $NVM_DIR/alias bez sprawdzenia zawartości. Nazwa zawierająca '..' pozwala odczytać pierwszy niekomentarzowy wiersz dowolnego pliku czytelnego dla użytkownika, np. przez .nvmrc w niezaufanym repozytorium. Brak wpływu na integralność i dostępność, brak wykonania kodu.

Podatność w Node Version Manager (nvm) w wersjach 0.32.1 do 0.40.5 pozwala na zapis pliku aliasu poza katalogiem $NVM_DIR/alias. Złośliwe lustro może zwrócić nazwę LTS zawierającą sekwencję typu "../../../.bashrc", co prowadzi do nadpisania plików startowych powłoki i potencjalnego wykonania kodu.

nvm (Node Version Manager) do wersji 0.40.4 wykonuje dowolne polecenia z ciągów wersji dostarczonych przez skonfigurowane lustro Node.js/io.js. Atakujący kontrolujący lustro lub przeprowadzający atak man-in-the-middle na niezabezpieczone połączenie może uruchomić dowolne polecenia w systemie ofiary.