CVE-2026-121750

Node Version Manager (nvm), çox sayda node.js versiyalarını idarə etmək üçün POSIX standartlarına uyğun gələn bir shell funksiyasıdır. 0.40.5 və 0.40.8 arasındakı versiyalarda `nvm_download_artifact` buraxılış arxivini birbaşa `$NVM_DIR/.cache` daxilindəki son yoluna yükləyir və daha sonra onun checksum dəyərini yoxlayır; checksum uyğunsuzluğu olduqda xəta bildirilir, lakin rədd edilən arxiv yerində saxlanılır. Həmin versiyanın sonrakı `nvm install --offline` əmri ilə quraşdırılması zamanı keşlənmiş fayl checksum yoxlamasından keçmədən quraşdırılır, beləliklə, az öncə rədd edilmiş arxiv quraşdırılır və onun `node` və `npm` komponentləri işə salınır. Bu, yüklənmiş tarball faylını dəyişdirə bilən (məsələn, zəhərlənmiş CDN və ya keş obyekti vasitəsilə), lakin onun yanındakı `SHASUMS256.txt` faylını saxtalaşdıra bilməyən tərəfə kodun icrasını təmin edir, əgər qurban görünən "Checksums do not match" xətasından sonra və hər hansı onlayn yenidən cəhddən əvvəl həmin versiya üçün `nvm install --offline` əmrini icra edərsə. 0.41.0 versiyasında arxiv yalnız checksum yoxlamasından keçdikdən sonra keşə yerləşdirilir.