CVE-2026-121749

Nome do Software Vulnerável e Versões Afetadas Node Version Manager (nvm) versões 0.5.0 até 0.40.8

Descrição Nas funções nvm ls remote index tab, nvm remote version e nvm ls cached, o padrão de versão solicitado é passado ao grep como um argumento simples, sem a flag -e. Um arquivo .nvmrc cuja primeira linha comece com -, como -Rohenpm [A-Za-z0-9]*, pode ser interpretado como opções do grep. Com o GNU grep, a opção -R realiza uma busca recursiva no diretório atual. Em um comando nvm install simples, o nvm trata qualquer string correspondente desses arquivos como a versão, exibindo-a e solicitando-a ao espelho configurado. Isso pode resultar na exposição de informações sensíveis, como um token do npm, vazando-o para o terminal e para os logs do espelho ou de qualquer proxy. A exposição é apenas de leitura e limitada aos caracteres 0-9A-Za-z. +-.

Recomendações Atualize o Node Version Manager (nvm) para a versão 0.41.0.