PT-2026-137189
CVE-2026-121747
·
تاريخ النشر
2026-11-04
·
تاريخ التحديث
2026-11-04
الوصف من
CVSS 4.0
6.7
متوسطةالمقاييسAV:L/AC:L/AT:N/PR:N/UI:A/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
Node Version Manager (nvm) الإصدارات من 0.2.0 إلى 0.40.8
Description
يفشل Node Version Manager (nvm) في التحقق مما إذا كان ملف
.nvmrc عبارة عن رابط رمزي (symbolic link). يمكن للمهاجم توفير مستودع أو أرشيف يحتوي على ملف .nvmrc يشير إلى ملفات حساسة، مثل ../../.npmrc أو /proc/self/environ على نظام Linux. عندما يقوم المستخدم بتنفيذ أوامر مثل nvm use أو nvm install أو nvm which أو nvm exec أو nvm run أو nvm-exec يتم طباعة محتويات الملف المرتبط في رسائل الخطأ أو رسائل تأكيد الإصدار. قد يؤدي ذلك إلى تسريب معلومات إذا كانت المخرجات مرئية للمهاجم، كما هو الحال في سجلات التكامل المستمر (CI logs). بالإضافة إلى ذلك، قد يتسبب مستخدمو hook load-nvmrc في zsh أو hook cdnvm في bash في تفعيل هذا السلوك بمجرد الدخول إلى الدليل.Recommendations
تحديث Node Version Manager (nvm) إلى الإصدار 0.41.0 أو أحدث.
يجب على مستخدمي hook
cdnvm في bash تحديث نسختهم من الـ hook لضمان الحصول على الإصدار من nvm بدلاً من قراءة ملف .nvmrc مباشرة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾