O Node Version Manager (nvm) não verifica se o arquivo `.nvmrc` é um link simbólico. Um invasor pode fornecer um repositório ou arquivo que contenha um `.nvmrc` apontando para arquivos sensíveis, como `../../.npmrc` ou `/proc/self/environ` no Linux. Quando um usuário executa comandos como `nvm use`, `nvm install`, `nvm which`, `nvm exec`, `nvm run` ou `nvm-exec`, o conteúdo do arquivo vinculado é exibido em mensagens de erro ou de confirmação de versão. Isso pode resultar na exposição de informações se a saída for visível para o invasor, como em logs de CI. Além disso, usuários que utilizam o hook `load-nvmrc` do zsh ou o hook `cdnvm` do bash podem acionar esse comportamento apenas ao entrar no diretório.