CVE-2026-121746

Nome do Software Vulnerável e Versões Afetadas Node Version Manager (nvm) versões 0.40.0 through 0.40.8

Description Ao utilizar os comandos nvm use --save e nvm install --save (ou -w), o software grava a versão resolvida no arquivo .nvmrc usando tee, que segue links simbólicos. Se um repositório contiver um arquivo .nvmrc que seja um link simbólico para um caminho fora do repositório, a operação --save pode truncar qualquer arquivo que o usuário tenha permissão para gravar — como arquivos de inicialização do shell ou ~/.ssh/authorized keys — e substituir seu conteúdo pela string da versão. Isso também pode criar o destino de um link pendente. Como o link simbólico em si permanece inalterado, a ação não aparece no git status. Este problema resulta em perda de dados, e não em execução de código, pois o invasor não pode controlar o conteúdo gravado.

Recommendations Atualize o Node Version Manager (nvm) para a versão 0.41.0.