CVE-2026-121748

Node Version Manager (nvm), çox sayda node.js versiyalarını idarə etmək üçün POSIX standartlarına uyğun gələn bir shell funksiyasıdır. 0.27.0 və 0.40.8 arasındakı versiyalarda, layihənin `.npmrc` faylı `prefix` təyin etdikdə, `nvm use` istifadəçiyə `nvm use --delete-prefix` əmrini işlətməyi tövsiyə edir; bu isə cari kataloqda konfiqurasiya faylını adlandırmadan `npm config delete prefix` və `npm config delete globalconfig` əmrlərini icra edir. npm hansı faylın redaktə olunacağına qərar verməzdən əvvəl layihənin `.npmrc` faylını yükləyir, beləliklə hədəf həmin fayl tərəfindən seçilir: `userconfig=~/.bashrc` npm-in `~/.bashrc` faylını ini formatında yenidən yazmasına səbəb olur (onu korlayır), `location=global` və `globalconfig=` isə seçilmiş faylı 0666 rejimində saxlayır ki, bu da ortaq maşında digər lokal istifadəçinin həmin fayla yazı yazmasına şərait yaradır. Hücumçu (klonlanmış repozitoriyanın və ya arxivin müəllifi, yaxud ortaq valideyn kataloquna yaza bilən lokal istifadəçi) yazılan baytları deyil, lakin faylı seçir və heç bir layihə kodu icra olunmur. 0.41.0 versiyasında artıq layihənin `.npmrc` faylına `--delete-prefix` tərəfindən hansı konfiqurasiya faylının redaktə olunacağını seçmək imkanı verilmir.