CVE-2026-118905

اسم البرنامج المصاب والإصدارات المتأثرة Node Version Manager (nvm) الإصدارات من 0.31.2 إلى 0.40.5

الوصف تستخدم وظيفة nvm ls برنامج sed لتصفية الإصدارات المثبتة عن طريق دمج نمط الإصدار المطلوب في عنوان #...#. ونظرًا لعدم هروب الشرطات المائلة العكسية، يمكن لسلسلة إصدار تحتوي على # أو # إغلاق العنوان مبكرًا، مما يؤدي إلى تفسير بقية السلسلة كأوامر sed. في الأنظمة التي تستخدم GNU sed، يمكن للأمر e تشغيل أوامر shell بصلاحيات المستخدم، بينما يسمح BSD sed بقراءة وكتابة الملفات عبر الأمرين r و w. يتم تفعيل هذه المشكلة عندما يتم تمرير سلسلة إصدار يتحكم فيها المهاجم إلى nvm use أو nvm which أو nvm ls أو nvm version أو nvm run أو nvm exec أو إلى nvm-exec عبر المتغير NODE VERSION. بالإضافة إلى ذلك، فإن المستخدمين الذين يستخدمون خطاف cdnvm في bash أو خطاف load-nvmrc في zsh معرضون لتنفيذ الأوامر بمجرد الدخول إلى دليل يحتوي على ملف .nvmrc خبيث، حيث تقوم هذه الخطافات بتمرير محتوى الملف مباشرة إلى nvm ls و nvm version.

التوصيات تحديث Node Version Manager (nvm) إلى الإصدار 0.40.6.