Veille sécuritéBackend & données
P4Moyenne
Dans nvm 0.40.0 à 0.40.8, les commandes `nvm use –save` et `nvm install –save` pouvaient suivre un lien symbolique `.nvmrc` et écraser le fichier ciblé avec le numéro de version. Mettre à jour vers nvm 0.41.0 ou ultérieur, qui refuse d’écrire lorsque `.nvmrc` est un lien symbolique.
Node.js
IdentifiantCVE-2026-121746
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctifnvm 0.41.0
Source : NVD — CVE-2026-121746
Analyse technique
Le scénario décrit une perte ou altération de données accessibles en écriture ; le contenu écrit n’est pas contrôlé par l’attaquant.
Impact, versions et correctif
Événement datéLa fiche NVD fournie date du 2026-11-04T22:17:54.160Z, soit le 2026-11-05T00:17:54.160+02:00, dans la période demandée.
ImpactUne commande de sauvegarde de version pouvait écraser le contenu d’un fichier visé par le lien symbolique, par exemple un fichier de configuration de l’utilisateur.
Versions affectéesnvm 0.40.0 à 0.40.8
Version corrigéenvm 0.41.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.7
EPSS0,17% · percentile 6,3%
Publication2026-11-05T00:17:54.160+02:00
Mise à jour2026-11-05T00:17:54.160+02:00
Action recommandée
Mettre à jour nvm vers la version 0.41.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).