PT-2026-137192
CVE-2026-121750
·
تاريخ النشر
2026-11-04
·
تاريخ التحديث
2026-11-04
الوصف من
CVSS 3.1
3.1
منخفضةالمقاييسAV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Node Version Manager (nvm) الإصدارات 0.40.5 through 0.40.8
Description
تقوم الدالة
nvm download artifact بتنزيل أرشيف إصدار إلى $NVM DIR/.cache وتتحقق من مجموع التحقق (checksum) بعد اكتمال التنزيل. في حالة عدم تطابق مجموع التحقق، يبلغ النظام عن خطأ ولكنه يترك الأرشيف المرفوض في ذاكرة التخزين المؤقت. يؤدي أمر nvm install --offline لاحق لنفس الإصدار إلى تثبيت الملف المخزن مؤقتًا دون التحقق من مجموع التحقق. يتيح ذلك لطرف يمكنه تعديل ملف tarball الذي تم تنزيله، على سبيل المثال من خلال شبكة توصيل محتوى (CDN) مسمومة أو كائن تخزين مؤقت، تنفيذ تعليمات برمجية عندما يقوم الضحية بتشغيل التثبيت دون اتصال بالإنترنت بعد فشل التحقق من مجموع التحقق.Recommendations
تحديث Node Version Manager (nvm) إلى الإصدار 0.41.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾