PT-2026-137187
CVE-2026-121745
·
تاريخ النشر
2026-11-04
·
تاريخ التحديث
2026-11-04
الوصف من
CVSS 3.1
2.5
منخفضةالمقاييسAV:L/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Node Version Manager (nvm) الإصدارات من 0.40.0 إلى 0.40.8
Description
عند تعيين المتغير
NVM AUTH HEADER ، تقوم الدالة nvm download() بتمرير بيانات الاعتماد إلى curl أو wget كمعامل في سطر الأوامر. نظرًا لأن معاملات العملية مرئية لجميع المستخدمين المحليين على أنظمة Linux و macOS ، يمكن لحساب غير مميز على نفس الجهاز قراءة الرمز (token) أثناء تنفيذ أوامر مثل nvm ls-remote و nvm install. يتيح ذلك للمهاجم الحصول على وصول غير مصرح به إلى المرآة الخاصة. تؤثر هذه المشكلة تحديدًا على المستخدمين الذين يقومون بتعيين NVM AUTH HEADER على أجهزة مشتركة مع حسابات محلية أخرى.Recommendations
تحديث Node Version Manager (nvm) إلى الإصدار 0.41.0.
كإجراء تخفيف مؤقت، تجنب تعيين المتغير
NVM AUTH HEADER على الأنظمة المشتركة مع مستخدمين محليين آخرين. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾