Veille sécuritéBackend & données
P4Faible
Dans nvm 0.39.6 à 0.40.8, des valeurs reçues depuis l’index d’un miroir Node.js pouvaient être évaluées comme expressions arithmétiques shell lors de la résolution des alias LTS. Mettre à jour vers nvm 0.41.0 ou ultérieur, qui valide les valeurs avant leur utilisation ; l’exploitation décrite suppose notamment un miroir hostile ou compromis.
Node.js
IdentifiantCVE-2026-121751
GravitéFaible
Exploitationnon connue / non déterminée
Correctifnvm 0.41.0
Source : NVD — CVE-2026-121751
Analyse technique
L’avis décrit une exécution de commandes sous bash et zsh lors de la résolution de valeurs LTS malveillantes ; dash n’est pas affecté.
Impact, versions et correctif
Événement datéLa fiche NVD fournie date du 2026-11-04T22:17:55.060Z, soit le 2026-11-05T00:17:55.060+02:00, dans la période demandée.
ImpactExécution de commandes avec les privilèges de l’utilisateur qui exécute nvm.
Versions affectéesnvm 0.39.6 à 0.40.8
Version corrigéenvm 0.41.0
ContournementNe pas utiliser de miroir non fiable et ne pas configurer NVM_NODEJS_ORG_MIRROR vers une source non fiable.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2.1
EPSS0,23% · percentile 14,1%
Publication2026-11-05T00:17:55.060+02:00
Mise à jour2026-11-05T00:17:55.060+02:00
Action recommandée
Mettre à jour nvm vers la version 0.41.0 ou ultérieure et vérifier la fiabilité du miroir configuré.
Sources
Priorisation DFS : P4 · 1 source(s).