Veille sécuritéBackend & données
P4Faible
Dans nvm 0.40.0 à 0.40.8, lorsque NVM_AUTH_HEADER est défini, le jeton d’accès pouvait apparaître dans les arguments de curl ou wget et être lu par un autre utilisateur local pendant un téléchargement. Mettre à jour vers nvm 0.41.0 ou ultérieur ; BusyBox wget reste concerné par l’exposition en ligne de commande.
Node.js
IdentifiantCVE-2026-121745
GravitéFaible
Exploitationnon connue / non déterminée
Correctifnvm 0.41.0
Source : NVD — CVE-2026-121745
Analyse technique
L’avis indique que nvm 0.41.0 transmet l’en-tête à curl via stdin et à GNU Wget via un fichier de configuration temporaire privé.
Impact, versions et correctif
Événement datéLa fiche NVD fournie date du 2026-11-04T22:17:53.970Z, soit le 2026-11-05T00:17:53.970+02:00, dans la période demandée.
ImpactUn autre utilisateur local pourrait récupérer le jeton d’authentification et accéder aux ressources auxquelles celui-ci donne droit.
Versions affectéesnvm 0.40.0 à 0.40.8
Version corrigéenvm 0.41.0
ContournementSur une machine partagée, ne pas définir NVM_AUTH_HEADER avant la mise à jour ; sous Linux, hidepid=2 sur /proc peut réduire l’exposition. Éviter BusyBox wget si l’en-tête d’authentification est utilisé.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2
EPSS0,12% · percentile 2,0%
Publication2026-11-05T00:17:53.970+02:00
Mise à jour2026-11-05T00:17:53.970+02:00
Action recommandée
Mettre à jour nvm vers la version 0.41.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).