CVE-2026-121746

اسم البرنامج المصاب والإصدارات المتأثرة Node Version Manager (nvm) الإصدارات من 0.40.0 إلى 0.40.8

Description عند استخدام الأوامر nvm use --save و nvm install --save (أو -w)، يقوم البرنامج بكتابة الإصدار المحدد في ملف .nvmrc باستخدام tee الذي يتبع الروابط الرمزية. إذا كان المستودع يحتوي على ملف .nvmrc عبارة عن رابط رمزي لمسار خارج المستودع، فإن عملية --save يمكن أن تؤدي إلى مسح محتويات أي ملف يمتلك المستخدم صلاحية الكتابة فيه — مثل ملفات بدء تشغيل shell أو ~/.ssh/authorized keys — واستبدال محتوياته بسلسلة نصية للإصدار. يمكن أن يؤدي ذلك أيضاً إلى إنشاء هدف لرابط معلق. وبما أن الرابط الرمزي نفسه يظل دون تغيير، فإن الإجراء لا يظهر في git status. تؤدي هذه المشكلة إلى فقدان البيانات وليس تنفيذ تعليمات برمجية، حيث لا يمكن للمهاجم التحكم في المحتوى المكتوب.

Recommendations تحديث Node Version Manager (nvm) إلى الإصدار 0.41.0.