CVE-2026-118905

Nome do Software Vulnerável e Versões Afetadas Node Version Manager (nvm) versões 0.31.2 a 0.40.5

Descrição A função nvm ls utiliza um programa sed para filtrar versões instaladas, incorporando o padrão de versão solicitado em um endereço #...#. Como as barras invertidas não são escapadas, uma string de versão contendo # ou # pode fechar o endereço prematuramente, fazendo com que o restante da string seja interpretado como comandos sed. Em sistemas com GNU sed, o comando e pode executar comandos de shell como o usuário, enquanto o BSD sed permite a leitura e gravação de arquivos através dos comandos r e w. Este problema ocorre quando uma string de versão influenciada por um invasor é passada para nvm use, nvm which, nvm ls, nvm version, nvm run, nvm exec, ou para nvm-exec via a variável NODE VERSION. Além disso, usuários que utilizam o hook bash cdnvm ou o hook zsh load-nvmrc estão suscetíveis à execução de comandos apenas ao entrar em um diretório que contenha um arquivo .nvmrc malicioso, pois esses hooks passam o conteúdo do arquivo diretamente para nvm ls e nvm version.

Recomendações Atualize o Node Version Manager (nvm) para a versão 0.40.6.