CVE-2026-15921

Node Version Manager (nvm) من الإصدار 0.32.1 حتى 0.40.5

توجد مشكلة حيث تقوم الأوامر nvm ls-remote وغيرها من الأوامر التي تُحدّث الأسماء المستعارة LTS عن بُعد، مثل nvm install --lts، بتحليل ملف index.tab الخاص بمرآة node.js واستخدام حقل الاسم الرمزي LTS كاسم ملف مستعار دون التحقق من صحته. يمكن أن يؤدي المرآة المخترقة أو هجوم الوسيط (man-in-the-middle) إلى إرجاع اسم رمز LTS يحتوي على تسلسلات عبور المسار، مثل ../../../.bashrc. وهذا يسمح للبرنامج بكتابة سلاسل الإصدارات في مسارات خارج دليل $NVM DIR/alias. في الإعدادات الافتراضية حيث يكون $NVM DIR هو ~/.nvm، قد يؤدي ذلك إلى إنشاء أو الكتابة فوق ملفات في الدليل الرئيسي للمستخدم، بما في ذلك ملفات بدء تشغيل shell، مما قد يؤدي إلى تنفيذ التعليمات البرمجية في جلسات shell اللاحقة. يتطلب استغلال هذه الثغرة استخدام مرآة معادية عبر شبكة CDN مخترقة، أو هجوم «الرجل في الوسط» (man-in-the-middle) على الشبكة، أو تكوين ضار لمتغيرات NVM NODEJS ORG MIRROR أو NVM IOJS ORG MIRROR.

قم بالتحديث إلى الإصدار 0.40.6.