CVE-2026-121747

Nome do Software Vulnerável e Versões Afetadas Node Version Manager (nvm) versões 0.2.0 through 0.40.8

Description O Node Version Manager (nvm) não verifica se o arquivo .nvmrc é um link simbólico. Um invasor pode fornecer um repositório ou arquivo que contenha um .nvmrc apontando para arquivos sensíveis, como ../../.npmrc ou /proc/self/environ no Linux. Quando um usuário executa comandos como nvm use, nvm install, nvm which, nvm exec, nvm run ou nvm-exec, o conteúdo do arquivo vinculado é exibido em mensagens de erro ou de confirmação de versão. Isso pode resultar na exposição de informações se a saída for visível para o invasor, como em logs de CI. Além disso, usuários que utilizam o hook load-nvmrc do zsh ou o hook cdnvm do bash podem acionar esse comportamento apenas ao entrar no diretório.

Recommendations Atualize o Node Version Manager (nvm) para a versão 0.41.0 ou posterior. Usuários do hook cdnvm do bash devem atualizar sua cópia do hook para garantir que ele obtenha a versão do nvm em vez de ler o arquivo .nvmrc diretamente.