Veille sécuritéBackend & données
P4Moyenne
Dans nvm 0.5.0 à 0.40.8, un motif de version commençant par un tiret était transmis à grep sans protection contre son interprétation comme option. Un dépôt ou fichier `.nvmrc` malveillant pouvait ainsi provoquer la lecture puis l’affichage de données locales limitées ; mettre à jour vers nvm 0.41.0, qui transmet le motif avec `-e`.
Node.js
IdentifiantCVE-2026-121749
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctifnvm 0.41.0
Source : NVD — CVE-2026-121749
Analyse technique
Le scénario signalé peut exposer certaines chaînes de caractères depuis des fichiers locaux et les inclure dans une requête vers le miroir configuré.
Impact, versions et correctif
Événement datéLa fiche NVD fournie date du 2026-11-04T22:17:54.700Z, soit le 2026-11-05T00:17:54.700+02:00, dans la période demandée.
ImpactDivulgation de données locales dans la sortie ou les journaux du miroir et de ses intermédiaires, sous les conditions décrites par l’avis.
Versions affectéesnvm 0.5.0 à 0.40.8
Version corrigéenvm 0.41.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.6
EPSS0,16% · percentile 5,5%
Publication2026-11-05T00:17:54.700+02:00
Mise à jour2026-11-05T00:17:54.700+02:00
Action recommandée
Mettre à jour nvm vers la version 0.41.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).