PT-2026-137190
CVE-2026-121748
·
تاريخ النشر
2026-11-04
·
تاريخ التحديث
2026-11-04
الوصف من
CVSS 3.1
3.6
منخفضةالمقاييسAV:L/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:L
اسم البرنامج المصاب والإصدارات المتأثرة
Node Version Manager (nvm) الإصدارات من 0.27.0 إلى 0.40.8
Description
عندما يقوم ملف
.npmrc الخاص بمشروع بتعيين المتغير prefix ، يطلب الأمر nvm use من المستخدم تنفيذ nvm use --delete-prefix. يؤدي هذا الإجراء إلى تشغيل npm config delete prefix و npm config delete globalconfig في الدليل الحالي دون تحديد ملف تكوين. نظرًا لأن npm يقوم بتحميل ملف .npmrc الخاص بالمشروع قبل تحديد الملف الذي سيتم تحريره، يمكن للمهاجم التلاعب بالملف المستهدف. على سبيل المثال، يؤدي تعيين userconfig=~/.bashrc إلى قيام npm بإعادة كتابة ~/.bashrc كملف ini، مما يؤدي إلى تلفه. بدلاً من ذلك، يمكن أن يؤدي تعيين location=global و globalconfig= إلى ترك الملف المختار بصلاحيات 0666، مما يسمح لمستخدمين محليين آخرين على جهاز مشترك بالكتابة فيه. يمكن استغلال ذلك من قبل مؤلف مستودع مستنسخ أو مستخدم محلي لديه صلاحية الكتابة في دليل أب مشترك.Recommendations
تحديث Node Version Manager (nvm) إلى الإصدار 0.41.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾