CVE-2026-121745

Nome do Software Vulnerável e Versões Afetadas Node Version Manager (nvm) versões 0.40.0 through 0.40.8

Description Quando a variável NVM AUTH HEADER está configurada, a função nvm download() passa as credenciais para o curl ou wget como um argumento de linha de comando. Como os argumentos do processo são visíveis para todos os usuários locais no Linux e macOS, uma conta sem privilégios na mesma máquina pode ler o token durante a execução de comandos como nvm ls-remote e nvm install. Isso permite que o invasor obtenha acesso não autorizado ao espelho privado. Este problema afeta especificamente usuários que definem NVM AUTH HEADER em hosts compartilhados com outras contas locais.

Recommendations Atualize o Node Version Manager (nvm) para a versão 0.41.0. Como mitigação temporária, evite configurar a variável NVM AUTH HEADER em sistemas compartilhados com outros usuários locais.