Veille sécuritéBackend & données
P4Moyenne
Dans nvm 0.2.0 à 0.40.8, un `.nvmrc` symbolique pouvait amener certaines commandes à afficher le contenu du fichier visé dans un message d’erreur ou de version. Mettre à jour vers nvm 0.41.0, qui n’affiche plus ce contenu et valide les valeurs lues ; les utilisateurs de l’ancien hook bash `cdnvm` doivent également actualiser leur copie selon l’avis.
Node.js
IdentifiantCVE-2026-121747
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctifnvm 0.41.0
Source : NVD — CVE-2026-121747
Analyse technique
La divulgation dépend de la visibilité de la sortie, par exemple dans des journaux CI ; l’avis précise que nvm ne transmet pas lui-même le contenu ailleurs.
Impact, versions et correctif
Événement datéLa fiche NVD fournie date du 2026-11-04T22:17:54.337Z, soit le 2026-11-05T00:17:54.337+02:00, dans la période demandée.
ImpactDes données contenues dans un fichier visé par `.nvmrc` peuvent être divulguées dans la sortie de la commande ou des journaux qui la collectent.
Versions affectéesnvm 0.2.0 à 0.40.8
Version corrigéenvm 0.41.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.7
EPSS0,18% · percentile 7,7%
Publication2026-11-05T00:17:54.337+02:00
Mise à jour2026-11-05T00:17:54.337+02:00
Action recommandée
Mettre à jour nvm vers la version 0.41.0 ou ultérieure et actualiser l’ancien hook bash `cdnvm` si utilisé.
Sources
Priorisation DFS : P4 · 1 source(s).