CVE-2026-118905

Menedżer wersji węzła (nvm) to zgodna z POSIX funkcja powłoki służąca do zarządzania wieloma wersjami pliku node.js. W wersjach od 0.31.2 do 0.40.5, `nvm_ls` filtruje zainstalowane wersje za pomocą programu sed, który osadza żądany wzorzec wersji w adresie `\#...#`, uciekając przed `.` (a od 0.40.4, `#`), ale nie odwrotnym ukośnikiem. Dlatego ciąg wersji zawierający `#` (lub `\#`) zamyka adres wcześniej, a reszta jest analizowana jako polecenia sed: w przypadku GNU sed polecenie `e` uruchamia polecenie powłoki jako użytkownik; w przypadku BSD sed polecenia `w` i `r` zapisują i czytają pliki. Jest to osiągalne za każdym razem, gdy ciąg wersji, na który ma wpływ atakujący, jest przekazywany do `nvm use`, `nvm Which`, `nvm ls`, `nvm wersja`, `nvm run` lub `nvm exec` albo do `nvm-exec` przez `NODE_VERSION` i zainstalowana jest co najmniej jedna wersja. Własny parser `.nvmrc` nvm usuwa komentarze, więc nie ma to wpływu na użycie samego `.nvm`; jednakże, bash `cdnvm` i zsh `load-nvmrc` automatyczne przełączanie haków udokumentowane w README odczytuje `.nvmrc` w stanie takim, w jakim jest i przekazuje je do `nvm ls` i `nvmversion`, więc użytkownik z zainstalowanym jednym z tych hooków uruchamia polecenie atakującego po prostu przechodząc do katalogu ze złośliwym `.nvmrc`; skrypty uruchamiające `nvm use "$(cat .nvmrc)"` podlegają temu samemu wpływowi. Wersja 0.40.6 przepuszcza najpierw dowolny wzorzec wersji zawierający `#` lub znak nowej linii przez analizator zawartości `.nvmrc`, więc żaden `#` nie dociera do programu sed.