CVE-2026-94185

nvm sorğu edilən versiyanı və ya aliası $NVM_DIR/alias altında fayl adı kimi qəbul edərək həll edir. 0.40.8 versiyasından əvvəl nvm_alias() funksiyası sorğu edilən adı həmin kataloga birləşdirirdi və nəticəni heç bir məhdudiyyət yoxlaması olmadan oxuyurdu, buna görə də tərkibində `..` komponenti olan ad alias katalogundan kənara çıxırdı; standart strukturda `../../.npmrc` kimi bir alias istifadəçinin ev kataloqundakı fayla yönləndirilir. Daha sonra nvm_print_alias_file() açılan faylın şərh olmayan və boş olmayan hər bir sətrini çıxarır. Etibarsız .nvmrc faylından götürülən versiya sətiri bu yola çatır, beləliklə hücumkeş tərəfindən təqdim edilmiş repozitoriya daxilində `nvm use`, `nvm install` və ya `nvm which` əmrini işə salan tərtibatçı, nəticədə yaranan "is not yet installed" xəta mesajında həmin istifadəçi tərəfindən oxuna bilən istənilən faylın ilk şərh olmayan sətrini ifşa edir. İstifadəçi tərəfindən təqdim edilən `nvm alias <traversing-name>` əmri hədəf faylın bütün şərh olmayan sətirlərini ifşa edir. Bütövlüyə və ya əlçatanlığa heç bir təsir yoxdur və bu yol üzrə heç bir əmrin icrası baş vermir.