CVE-2026-121746

Node Version Manager (nvm), çox sayda node.js versiyalarını idarə etmək üçün nəzərdə tutulmuş POSIX uyğun shell funksiyasıdır. 0.40.0 və 0.40.8 versiyaları arasında `nvm use --save` və `nvm install --save` (və ya `-w`) əmrləri təyin olunmuş versiyanı simvolik linki izləyən `tee` vasitəsilə `$PWD/.nvmrc` faylına yazır. Əgər bir repozitoriya `.nvmrc` faylını özündən kənar bir yola yönəlmiş simvolik link kimi commit edibsə (git klonlama zamanı linki yenidən yaradır), bu zaman `--save` parametri istifadəçinin yazı icazəsinin olduğu hər hansı bir faylı (məsələn, shell startap faylı və ya `~/.ssh/authorized_keys`) kəsib, onun məzmununu versiya sətiri ilə əvəzləyə bilər və ya mövcud olmayan linkin hədəfini yarada bilər; linkin özü dəyişməz qaldığı üçün `git status` təmiz görünür. Hücumçu yazılan məzmuna nəzarət etmir, buna görə də bu, kodun icrası deyil, məlumat itkisidir. 0.41.0 versiyasında cari kataloqdakı `.nvmrc` simvolik link olduqda (istər aktiv, istər aktiv olmayan), sistem xəbərdarlıqla birlikdə yazmağı rədd edir və link üzərindən yazmağa və ya onu əvəz etməyə icazə vermir.