CVE-2026-121748

Nome do Software Vulnerável e Versões Afetadas Node Version Manager (nvm) versões 0.27.0 through 0.40.8

Description Quando o arquivo .npmrc de um projeto define a variável prefix, o comando nvm use solicita que o usuário execute nvm use --delete-prefix. Esta ação aciona npm config delete prefix e npm config delete globalconfig no diretório atual sem especificar um arquivo de configuração. Como o npm carrega o .npmrc do projeto antes de determinar qual arquivo editar, um invasor pode manipular o arquivo alvo. Por exemplo, definir userconfig=~/.bashrc faz com que o npm reescreva o ~/.bashrc como um arquivo ini, resultando em corrupção. Alternativamente, definir location=global e globalconfig= pode deixar o arquivo selecionado com permissões 0666, permitindo que outros usuários locais em uma máquina compartilhada escrevam nele. Isso pode ser explorado pelo autor de um repositório clonado ou por um usuário local com acesso de escrita a um diretório pai compartilhado.

Recommendations Atualize o Node Version Manager (nvm) para a versão 0.41.0.