CVE-2026-121750

Nome do Software Vulnerável e Versões Afetadas Node Version Manager (nvm) versões 0.40.5 through 0.40.8

Description A função nvm download artifact baixa um arquivo de lançamento para $NVM DIR/.cache e verifica a soma de verificação (checksum) após a conclusão do download. Se ocorrer uma divergência na soma de verificação, o sistema relata um erro, mas mantém o arquivo rejeitado no cache. Um comando nvm install --offline subsequente para a mesma versão instala o arquivo em cache sem realizar a verificação da soma de verificação. Isso permite que um invasor que possa modificar o tarball baixado, como por meio de um CDN envenenado ou objeto de cache, execute código quando a vítima executar a instalação offline após uma tentativa de soma de verificação malsucedida.

Recommendations Atualize o Node Version Manager (nvm) para a versão 0.41.0.