Veille sécuritéBackend & données
P4Faible
Dans nvm 0.40.5 à 0.40.8, une archive dont la somme de contrôle échouait pouvait rester dans le cache puis être installée par une commande hors ligne ultérieure sans nouvelle vérification. Mettre à jour vers nvm 0.41.0 ou ultérieur, qui ne place l’archive en cache qu’après validation de sa somme.
Node.js
IdentifiantCVE-2026-121750
GravitéFaible
Exploitationnon connue / non déterminée
Correctifnvm 0.41.0
Source : NVD — CVE-2026-121750
Analyse technique
L’exécution de code nécessite notamment une archive altérée, un échec visible de vérification, puis une installation hors ligne avant une nouvelle récupération en ligne.
Impact, versions et correctif
Événement datéLa fiche NVD fournie date du 2026-11-04T22:17:54.873Z, soit le 2026-11-05T00:17:54.873+02:00, dans la période demandée.
ImpactUne archive non fiable peut être installée et exécutée dans les conditions spécifiques décrites par l’avis.
Versions affectéesnvm 0.40.5 à 0.40.8
Version corrigéenvm 0.41.0
ContournementAprès un échec de vérification, ne pas installer hors ligne la même version avec l’archive déjà présente dans le cache.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2.1
EPSS0,15% · percentile 3,8%
Publication2026-11-05T00:17:54.873+02:00
Mise à jour2026-11-05T00:17:54.873+02:00
Action recommandée
Mettre à jour nvm vers la version 0.41.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).