CVE-2026-121751

Nome do Software Vulnerável e Versões Afetadas Node Version Manager (nvm) versões 0.39.6 through 0.40.8

Description Existe um problema onde o nvm ls-remote e outros comandos que atualizam aliases LTS remotos armazenam a coluna de versão do index.tab do espelho em $NVM DIR/alias/lts/ sem validação. A função nvm normalize lts() posteriormente avalia qualquer sufixo de um valor lts/-N dentro da aritmética de shell $((N+1)). No bash e zsh, essa avaliação aritmética expande substituições de comando em subscripts de array, permitindo que um valor armazenado como lts/-10*path[$(cmd)1] execute cmd como o usuário. Isso ocorre quando o alias é resolvido por comandos locais como nvm ls, nvm alias, nvm use --lts e nvm which lts/, ou em cada novo shell se o alias default estiver definido como lts/*. Isso também pode ser acionado via um arquivo .nvmrc do projeto. A exploração requer o uso de um espelho hostil, que pode ser alcançado através de um espelho ou CDN comprometido, um ataque de man-in-the-middle de rede em um espelho http:// ou uma variável NVM NODEJS ORG MIRROR configurada maliciosamente.

Recommendations Atualizar para a versão 0.41.0.