https://alertas.dupin.com.ar/fabricante/nvm-sh/Alertas de vulnerabilidades de nvm-sh.esWed, 04 Nov 2026 22:13:56 +000010https://alertas.dupin.com.ar/cve/CVE-2026-121751/tg:63357Wed, 04 Nov 2026 22:13:56 +0000Vulnerabilidadnvm almacena sin validar la columna de versión del index.tab del mirror en los alias LTS, y luego evalúa sufijos de valores lts/-N dentro de aritmética de shell. Un mirror hostil puede lograr que se ejecuten comandos al resolver el alias con comandos locales como nvm ls, nvm alias o nvm use --lts, y en cada shell nuevo si el alias default es lts/*. Afecta a las versiones 0.39.6 a 0.40.8.https://alertas.dupin.com.ar/cve/CVE-2026-121745/tg:63356Wed, 04 Nov 2026 22:13:55 +0000VulnerabilidadCuando NVM_AUTH_HEADER está definido, nvm pasa la credencial a curl o wget como argumento de línea de comandos, visible para todos los usuarios locales del equipo. Otro usuario sin privilegios podría leer el token durante nvm ls-remote, nvm install y comandos similares. Afecta a las versiones 0.40.0 a 0.40.8 y se corrige en la 0.41.0.https://alertas.dupin.com.ar/cve/CVE-2026-121750/tg:63355Wed, 04 Nov 2026 22:13:54 +0000Vulnerabilidadnvm descarga el archivo de una versión directamente a su ruta final en caché y verifica el checksum después; ante una discrepancia deja el archivo rechazado en su lugar. Un posterior nvm install --offline de esa versión instala el archivo en caché sin verificar el checksum y ejecuta su node y npm. Afecta a las versiones 0.40.5 a 0.40.8 y se corrige en la 0.41.0.https://alertas.dupin.com.ar/cve/CVE-2026-121748/tg:63354Wed, 04 Nov 2026 22:13:53 +0000VulnerabilidadEn nvm, cuando el .npmrc de un proyecto define prefix, nvm use indica ejecutar nvm use --delete-prefix, que ejecuta npm config delete sin nombrar un archivo de configuración. El .npmrc del proyecto elige el archivo objetivo, permitiendo corromper archivos como ~/.bashrc o dejar un archivo en modo 0666 en una máquina compartida. Afecta a las versiones 0.27.0 a 0.40.8 y se corrige en la 0.41.0.https://alertas.dupin.com.ar/cve/CVE-2026-121747/tg:63352Wed, 04 Nov 2026 22:13:48 +0000Vulnerabilidadnvm no verifica si .nvmrc es un enlace simbólico, por lo que un repositorio o archivo que lo incluya apuntando a otro archivo hace que comandos como nvm use, nvm install o nvm which lean ese archivo e impriman su contenido en el mensaje de error. Afecta a las versiones 0.2.0 a 0.40.8; la 0.41.0 sigue el enlace simbólico.https://alertas.dupin.com.ar/cve/CVE-2026-121749/tg:63351Wed, 04 Nov 2026 22:13:48 +0000Vulnerabilidadnvm pasa el patrón de versión a grep como argumento sin -e, por lo que un .nvmrc cuya primera línea comience con - puede interpretarse como opciones de grep. Con GNU grep, -R busca recursivamente en el directorio actual y nvm puede tratar una cadena de esos archivos como versión, filtrando datos como el token de npm al terminal y a los registros del mirror. Afecta a las versiones 0.5.0 a 0.40.8.https://alertas.dupin.com.ar/cve/CVE-2026-121746/tg:63349Wed, 04 Nov 2026 22:13:46 +0000Vulnerabilidadnvm use --save y nvm install --save escriben la versión resuelta en $PWD/.nvmrc con tee, que sigue enlaces simbólicos. Un repositorio que incluya .nvmrc como enlace a una ruta externa hace que --save trunque cualquier archivo escribible, como un archivo de inicio de shell o ~/.ssh/authorized_keys, y lo reemplace por la cadena de versión. Afecta a las versiones 0.40.0 a 0.40.8 y se corrige en la 0.41.0.https://alertas.dupin.com.ar/cve/CVE-2026-118905/tg:61935Thu, 29 Oct 2026 06:31:16 +0000Vulnerabilidadnvm_ls filtra las versiones instaladas con un programa sed que inserta el patrón de versión solicitado en una dirección \#...#, escapando '.' y '#' pero no la barra invertida. Una cadena de versión con '#' cierra la dirección antes de tiempo y el resto se interpreta como comandos sed: con GNU sed, el comando 'e' ejecuta un comando de shell como el usuario; con BSD sed, 'w' y 'r' escriben y leen archivos. Es alcanzable cuando una cadena de versión influida por el atacante se pasa a nvm use, nvm which, nvm ls, nvm…