CVE-2026-10796

nvm (Node Version Manager) 0.40.4 versiyasına qədər olan versiyalarda konfiqurasiya edilmiş Node.js/io.js güzgü serverindən (mirror) gələn versiya sətirləri vasitəsilə ixtiyari əmrlərin icrasına yol verir. `nvm install` kimi əmrlər mövcud versiyaları güzgü serverinin index.tab faylından oxuyur və seçilmiş versiyanı təmizləmədən yükləmə URL-lərini və shell/awk əmrlərini qurmaq üçün istifadə edir. Eyni etibarsız giriş iki nöqtəni təsir altına salır: nvm_download() funksiyası curl/wget əmr sətrini qurub onu `eval` ilə işə salırdı, buna görə də əmr əvəzetməsi (məsələn, $(id)) ehtiva edən versiya sahəsi lokal shell tərəfindən icra edilirdi; nvm_get_checksum() isə versiyadan törəmiş yükləmə identifikatorunu awk proqramına daxil edirdi, beləliklə, xüsusi hazırlanmış versiya awk-nın system() funksiyası vasitəsilə ixtiyari əmrləri icra edə bilirdi. Konfiqurasiya edilmiş güzgü serverini idarə edən, standart olmayan güzgü serverində istifadəçiyə və ya CI-a məzmun təqdim edən və ya TLS-siz güzgü serverində "machine-in-the-middle" hücumu həyata keçirən hücumçu, nvm-i işlədən istifadəçinin imtiyazları ilə ixtiyari əmrləri icra edə bilər. Standart güzgü serveri (TLS üzərindən https://nodejs.org) bu problemdən təsirlənmir. Problem master budaqda (növbəti teqlənmiş buraxılışı gözləyərək), hər bir arqumentin eval yerinə literal argv elementi kimi ötürülməsi, awk-ya dəyərin proqrama daxil edilməsi əvəzinə -v vasitəsilə məlumat kimi ötürülməsi və istifadədən əvvəl Node.js/io.js versiya qrammatikasından kənar olan hər hansı versiyanın rədd edilməsi ilə düzəldilib.