Dans nvm, un motif de version contrôlé par un attaquant peut être interprété comme des commandes sed et, selon l’environnement, permettre l’exécution de commandes ou la lecture et l’écriture de fichiers avec les privilèges de l’utilisateur. Les versions 0.31.2 à 0.40.5 sont concernées ; mettre à niveau vers 0.40.6 et ne pas traiter de `.nvmrc` non fiable avec les versions vulnérables.
Source : CVE-2026-118905 — NVD
Analyse technique
`nvm_ls` insère le motif demandé dans une adresse sed sans échapper correctement la barre oblique inverse. Des hooks d’auto-bascule documentés peuvent transmettre directement le contenu d’un `.nvmrc` malveillant à cette logique ; un `.nvmrc` utilisé par la commande `nvm use` seule est décrit comme non affecté par ce chemin.
Impact, versions et correctif
Détection / vérification
Vérifier la version de nvm et l’utilisation de chaînes de version provenant de sources non fiables, notamment via les hooks de changement automatique basés sur .nvmrc.
Action recommandée
Mettre à niveau nvm vers 0.40.6 ; jusqu’à la mise à niveau, éviter d’utiliser des motifs de version ou fichiers `.nvmrc` non fiables avec nvm et ses hooks d’auto-bascule.
Sources
Priorisation DFS : P3 · 1 source(s).