يفشل Node Version Manager (nvm) في التحقق مما إذا كان ملف `.nvmrc` عبارة عن رابط رمزي (symbolic link). يمكن للمهاجم توفير مستودع أو أرشيف يحتوي على ملف `.nvmrc` يشير إلى ملفات حساسة، مثل `../../.npmrc` أو `/proc/self/environ` على نظام Linux. عندما يقوم المستخدم بتنفيذ أوامر مثل `nvm use` أو `nvm install` أو `nvm which` أو `nvm exec` أو `nvm run` أو `nvm-exec` يتم طباعة محتويات الملف المرتبط في رسائل الخطأ أو رسائل تأكيد الإصدار. قد يؤدي ذلك إلى تسريب معلومات إذا كانت المخرجات مرئية للمهاجم، كما هو الحال في سجلات التكامل المستمر (CI logs). بالإضافة إلى ذلك، قد يتسبب مستخدمو hook `load-nvmrc` في zsh أو hook `cdnvm` في bash في تفعيل هذا السلوك بمجرد الدخول إلى الدليل.