CVE-2026-121751

Menedżer wersji węzła (nvm) to zgodna z POSIX funkcja powłoki służąca do zarządzania wieloma wersjami pliku node.js. W wersjach od 0.39.6 do 0.40.8 `nvm ls-remote` (i inne polecenia odświeżające zdalne aliasy LTS) przechowują kolumnę wersji `index.tab` serwera lustrzanego w `$NVM_DIR/alias/lts/` bez sprawdzania poprawności, a `nvm_normalize_lts` później ocenia dowolny sufiks wartości `lts/-N` wewnątrz arytmetyka powłoki `$((N+1))`. W bash i zsh ocena arytmetyczna rozszerza podstawienia poleceń w indeksach dolnych tablicy, więc przechowywana wartość, taka jak `lts/-10*ścieżka[$(cmd)1]` uruchamia `cmd` jako użytkownik, gdy alias jest później rozpoznawany za pomocą poleceń czysto lokalnych („nvm ls”, `nvm alias`, `nvm use --lts`, `nvm które lts/`) i w każdą nową powłokę, gdy „domyślnym” aliasem jest „lts/*”. Eksploatacja wymaga od ofiary użycia wrogiego serwera lustrzanego — za pośrednictwem skompromitowanego serwera lustrzanego lub CDN, sieciowego man-in-the-middle serwera lustrzanego `http://` lub złośliwie skonfigurowanego `NVM_NODEJS_ORG_MIRROR` — i uruchomienia odpowiedniego polecenia. Do tego samego ujścia można także dotrzeć z projektu `.nvmrc`, co jest traktowane jako utwardzanie. kreska nie ma na to wpływu. Wersja 0.41.0 przekazuje do obliczeń arytmetycznych wyłącznie całkowicie cyfrowe przesunięcie `lts/-N` i usuwa wiersze `index.tab`, których wersja nie jest prawidłowym ciągiem wersji.