Veille sécuritéBackend & données
P4Faible
Dans nvm 0.27.0 à 0.40.8, `nvm use –delete-prefix` pouvait laisser le fichier `.npmrc` du projet déterminer quel fichier de configuration npm serait modifié. Mettre à jour vers nvm 0.41.0 ou ultérieur, qui empêche le `.npmrc` du projet de choisir le fichier affecté.
Node.js
IdentifiantCVE-2026-121748
GravitéFaible
Exploitationnon connue / non déterminée
Correctifnvm 0.41.0
Source : NVD — CVE-2026-121748
Analyse technique
Selon la configuration du `.npmrc`, le fichier ciblé pouvait être réécrit ou créé avec des permissions trop ouvertes ; l’attaquant ne choisissait pas les octets écrits et aucun code de projet n’était exécuté.
Impact, versions et correctif
Événement datéLa fiche NVD fournie date du 2026-11-04T22:17:54.523Z, soit le 2026-11-05T00:17:54.523+02:00, dans la période demandée.
ImpactUne commande pouvait corrompre un fichier de configuration utilisateur ou créer un fichier de configuration accessible en écriture à d’autres utilisateurs locaux.
Versions affectéesnvm 0.27.0 à 0.40.8
Version corrigéenvm 0.41.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS1.8
EPSS0,13% · percentile 2,4%
Publication2026-11-05T00:17:54.523+02:00
Mise à jour2026-11-05T00:17:54.523+02:00
Action recommandée
Mettre à jour nvm vers la version 0.41.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).