Jordan Harband

في الدوال `nvm ls remote index tab` و `nvm remote version` و `nvm ls cached` يتم تمرير نمط الإصدار المطلوب إلى `grep` كمعامل مجرد بدون استخدام `-e`. يمكن تحليل ملف `.nvmrc` الذي يبدأ سطره الأول بـ `-` مثل `-Rohenpm [A-Za-z0-9]*` كخيارات لـ `grep`. وفي حالة استخدام GNU grep، يقوم الخيار `-R` بالبحث في الدليل الحالي بشكل متكرر. عند تنفيذ أمر `nvm install` بسيط، يتعامل nvm مع أي سلسلة مطابقة من تلك الملفات كإصدار، ويقوم بطباعتها وطلبها من المرآة المهيأة، مما قد يؤدي إلى تسريب معلومات حساسة مثل رمز npm (npm token) إلى الطرفية وسجلات المرآة أو أي خادم وكيل. هذا الكشف للقراءة فقط ومقتصر على الأحرف `0-9A-Za-z. +-`.

توجد مشكلة حيث يقوم `nvm ls-remote` والأوامر الأخرى التي تحدث أسماء LTS المستعارة عن بُعد بتخزين عمود الإصدار الخاص بـ `index.tab` للمرآة في `$NVM DIR/alias/lts/` دون التحقق من صحته. تقوم الدالة `nvm normalize lts()` لاحقاً بتقييم أي لاحقة لقيمة `lts/-N` داخل الحسابات القشرية `$((N+1))`. في bash و zsh، يقوم هذا التقييم الحسابي بتوسيع استبدالات الأوامر في subscripts المصفوفة، مما يسمح لقيمة مخزنة مثل `lts/-10*path[$(cmd)1]` بتنفيذ `cmd` بصلاحيات المستخدم. يحدث هذا عندما يتم حل الاسم المستعار بواسطة أوامر محلية مثل `nvm ls` و `nvm alias` و `nvm use --lts` و `nvm which lts/` وفي كل جلسة shell جديدة إذا كان الاسم المستعار `default` هو `lts/*`. يمكن أيضاً تفعيل ذلك عبر ملف `.nvmrc` الخاص بالمشروع. يتطلب الاستغلال استخدام مرآة خبيثة، وهو ما يمكن تحقيقه من خلال مرآة أو CDN مخترقة، أو هجوم man-in-the-middle على مرآة `http://` أو تكوين خبيث للمتغير `NVM NODEJS ORG MIRROR`.

تقوم الدالة `nvm download artifact` بتنزيل أرشيف إصدار إلى `$NVM DIR/.cache` وتتحقق من مجموع التحقق (checksum) بعد اكتمال التنزيل. في حالة عدم تطابق مجموع التحقق، يبلغ النظام عن خطأ ولكنه يترك الأرشيف المرفوض في ذاكرة التخزين المؤقت. يؤدي أمر `nvm install --offline` لاحق لنفس الإصدار إلى تثبيت الملف المخزن مؤقتًا دون التحقق من مجموع التحقق. يتيح ذلك لطرف يمكنه تعديل ملف tarball الذي تم تنزيله، على سبيل المثال من خلال شبكة توصيل محتوى (CDN) مسمومة أو كائن تخزين مؤقت، تنفيذ تعليمات برمجية عندما يقوم الضحية بتشغيل التثبيت دون اتصال بالإنترنت بعد فشل التحقق من مجموع التحقق.

عند تعيين المتغير `NVM AUTH HEADER` ، تقوم الدالة `nvm download()` بتمرير بيانات الاعتماد إلى curl أو wget كمعامل في سطر الأوامر. نظرًا لأن معاملات العملية مرئية لجميع المستخدمين المحليين على أنظمة Linux و macOS ، يمكن لحساب غير مميز على نفس الجهاز قراءة الرمز (token) أثناء تنفيذ أوامر مثل `nvm ls-remote` و `nvm install`. يتيح ذلك للمهاجم الحصول على وصول غير مصرح به إلى المرآة الخاصة. تؤثر هذه المشكلة تحديدًا على المستخدمين الذين يقومون بتعيين `NVM AUTH HEADER` على أجهزة مشتركة مع حسابات محلية أخرى.

عند استخدام الأوامر `nvm use --save` و `nvm install --save` (أو `-w`)، يقوم البرنامج بكتابة الإصدار المحدد في ملف `.nvmrc` باستخدام `tee` الذي يتبع الروابط الرمزية. إذا كان المستودع يحتوي على ملف `.nvmrc` عبارة عن رابط رمزي لمسار خارج المستودع، فإن عملية `--save` يمكن أن تؤدي إلى مسح محتويات أي ملف يمتلك المستخدم صلاحية الكتابة فيه — مثل ملفات بدء تشغيل shell أو `~/.ssh/authorized keys` — واستبدال محتوياته بسلسلة نصية للإصدار. يمكن أن يؤدي ذلك أيضاً إلى إنشاء هدف لرابط معلق. وبما أن الرابط الرمزي نفسه يظل دون تغيير، فإن الإجراء لا يظهر في `git status`. تؤدي هذه المشكلة إلى فقدان البيانات وليس تنفيذ تعليمات برمجية، حيث لا يمكن للمهاجم التحكم في المحتوى المكتوب.

يفشل Node Version Manager (nvm) في التحقق مما إذا كان ملف `.nvmrc` عبارة عن رابط رمزي (symbolic link). يمكن للمهاجم توفير مستودع أو أرشيف يحتوي على ملف `.nvmrc` يشير إلى ملفات حساسة، مثل `../../.npmrc` أو `/proc/self/environ` على نظام Linux. عندما يقوم المستخدم بتنفيذ أوامر مثل `nvm use` أو `nvm install` أو `nvm which` أو `nvm exec` أو `nvm run` أو `nvm-exec` يتم طباعة محتويات الملف المرتبط في رسائل الخطأ أو رسائل تأكيد الإصدار. قد يؤدي ذلك إلى تسريب معلومات إذا كانت المخرجات مرئية للمهاجم، كما هو الحال في سجلات التكامل المستمر (CI logs). بالإضافة إلى ذلك، قد يتسبب مستخدمو hook `load-nvmrc` في zsh أو hook `cdnvm` في bash في تفعيل هذا السلوك بمجرد الدخول إلى الدليل.

عندما يقوم ملف `.npmrc` الخاص بمشروع بتعيين المتغير `prefix` ، يطلب الأمر `nvm use` من المستخدم تنفيذ `nvm use --delete-prefix`. يؤدي هذا الإجراء إلى تشغيل `npm config delete prefix` و `npm config delete globalconfig` في الدليل الحالي دون تحديد ملف تكوين. نظرًا لأن npm يقوم بتحميل ملف `.npmrc` الخاص بالمشروع قبل تحديد الملف الذي سيتم تحريره، يمكن للمهاجم التلاعب بالملف المستهدف. على سبيل المثال، يؤدي تعيين `userconfig=~/.bashrc` إلى قيام npm بإعادة كتابة `~/.bashrc` كملف ini، مما يؤدي إلى تلفه. بدلاً من ذلك، يمكن أن يؤدي تعيين `location=global` و `globalconfig=` إلى ترك الملف المختار بصلاحيات 0666، مما يسمح لمستخدمين محليين آخرين على جهاز مشترك بالكتابة فيه. يمكن استغلال ذلك من قبل مؤلف مستودع مستنسخ أو مستخدم محلي لديه صلاحية الكتابة في دليل أب مشترك.

The software merges configuration from the target repository, specifically from the `.auto-changelog` file and the `auto-changelog` key in `package.json`, into its options and honors security-sensitive settings from these untrusted sources. This allows for remote code execution if the tool is run over attacker-controlled content, such as in CI workflows checking out untrusted pull requests or locally on third-party repositories. Specifically, the `handlebarsSetup` option is passed to `require()`, and the `plugins` option loads modules from the repository, both of which can execute arbitrary code with the privileges of the user or CI job. Additionally, `appendGitLog` and `appendGitTag` allow git argument injection, which can be used to write arbitrary files via the `--output=` flag. The `output` option allows writing influenced content to arbitrary paths, and the `template` option can trigger outbound requests to attacker-chosen URLs.

The JavaScript fallback in `lib/sync.js` re-hashes passwords that exceed the digest's block size (64 bytes, or 128 bytes for sha384 and sha512) during every iteration. This occurs because the password is passed to HMAC as the key on each iteration, and HMAC hashes such keys in full every time. This results in a computational cost of O(iterations × password length), which can lead to the event loop being blocked when processing long passwords. This fallback is triggered by `pbkdf2Sync()` and `pbkdf2()` on Bun versions 1.0.0 through 1.1.34 and 1.2.6 and later, Deno 2.9.0 and later, and Node.js versions prior to 0.12, as well as when `lib/sync.js` is imported directly.

The `quote()` function emits a `{ comment }` token starting with `#`, which comments out the remainder of the shell line, including opening quotes of subsequent string tokens. If a subsequent string contains a line terminator (such as ` `, `r`, `U+2028`, or `U+2029`), the comment is terminated, and the remaining part of the string is executed as shell input. Additionally, the `parse()` function generates a comment token when a `#` character appears in the middle of a word. This can lead to issues when callers combine the output of `parse()` with other untrusted strings.

توجد مشكلة حيث تقوم الأوامر `nvm ls-remote` وغيرها من الأوامر التي تُحدّث الأسماء المستعارة LTS عن بُعد، مثل `nvm install --lts`، بتحليل ملف `index.tab` الخاص بمرآة node.js واستخدام حقل الاسم الرمزي LTS كاسم ملف مستعار دون التحقق من صحته. يمكن أن يؤدي المرآة المخترقة أو هجوم الوسيط (man-in-the-middle) إلى إرجاع اسم رمز LTS يحتوي على تسلسلات عبور المسار، مثل `../../../.bashrc`. وهذا يسمح للبرنامج بكتابة سلاسل الإصدارات في مسارات خارج دليل `$NVM DIR/alias`. في الإعدادات الافتراضية حيث يكون `$NVM DIR` هو `~/.nvm`، قد يؤدي ذلك إلى إنشاء أو الكتابة فوق ملفات في الدليل الرئيسي للمستخدم، بما في ذلك ملفات بدء تشغيل shell، مما قد يؤدي إلى تنفيذ التعليمات البرمجية في جلسات shell اللاحقة. يتطلب استغلال هذه الثغرة استخدام مرآة معادية عبر شبكة CDN مخترقة، أو هجوم «الرجل في الوسط» (man-in-the-middle) على الشبكة، أو تكوين ضار لمتغيرات `NVM NODEJS ORG MIRROR` أو `NVM IOJS ORG MIRROR`.

تفشل الدالة `quote()` في التحقق من صحة مدخلات رموز الكائنات مقابل نموذج المشغل الذي تستخدمه الدالة `parse()`. وعلى وجه التحديد، يتم تجاوز الحقل `.op` باستخدام تعبير عادي لا يتطابق مع علامات نهاية السطر مثل ` ` و`r` و`U+2028` و`U+2029`. وهذا يسمح لعلامات نهاية السطر بالمرور دون تجاوز إلى المخرجات. نظرًا لأن أصداف POSIX تعامل أحرف الأسطر الجديدة الحرفية كفواصل للأوامر، يتم تنفيذ أي محتوى يلي حرف الأسطر الجديدة كأمر منفصل، مما يؤدي إلى حقن الأوامر. يمكن الوصول إلى هذه المشكلة من خلال البناء المباشر لـ `{ op: ’... ...‘ }` من مدخلات خارجية أو عبر `parse(cmd, envFn)` عندما تُرجع `envFn` رموز كائنات تحتوي على حقل `.op` متأثر بالمهاجم.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة Lodash الإصدارات من 4.0.0 إلى 4.17.22 الوصف الإصدارات من 4.0.0 إلى 4.17.22 من Lodash معرضة لثغرة «تلوث النموذج الأولي» في الدالتين ` .unset` و` .omit`. يمكن للمهاجم استغلال طرق معقدة لإحداث حذف طرق من النماذج الأولية العالمية. تسمح هذه الثغرة بحذف الخصائص، لكنها لا تسمح بتعديل السلوك الأصلي لتلك الخصائص. التوصيات قم بالتحديث إلى الإصدار 4.17.23 من Lodash أو أحدث.