PT-2026-5371
CVE-2026-1665
·
تاريخ النشر
2024-06-21
·
تاريخ التحديث
2026-01-30
الوصف من
CVSS 2.0
6.8
متوسطةالمقاييسAV:L/AC:L/Au:S/C:C/I:C/A:C
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات nvm 0.40.3 والإصدارات الأقدم
الوصف
توجد ثغرة تتعلق بحقن الأوامر في nvm (Node Version Manager). تستخدم الدالة
nvm download() دالة eval لتنفيذ أوامر wget. لم يتم تنقية متغير البيئة NVM AUTH HEADER بشكل مناسب عند استخدامه في مسار كود wget. يمكن للمهاجم القادر على تعيين متغيرات البيئة في بيئة شل الضحية — على سبيل المثال، من خلال إعدادات CI/CD الخبيثة، أو ملفات dotfiles المخترقة، أو صور Docker — حقن أوامر شل تعسفية. سيتم تنفيذ هذه الأوامر عندما يقوم الضحية بتنفيذ أوامر nvm التي تبدأ عمليات التنزيل، مثل ’nvm install‘ أو ’nvm ls-remote‘.التوصيات
قم بتحديث nvm إلى إصدار أعلى من 0.40.3.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾