CVE-2026-121746

Node Version Manager (nvm), birden fazla node.js sürümünü yönetmek için kullanılan POSIX uyumlu bir kabuk fonksiyonudur. 0.40.0 ile 0.40.8 arasındaki sürümlerde, `nvm use --save` ve `nvm install --save` (veya `-w`), çözümlenen sürümü sembolik bağlantıları takip eden `tee` aracılığıyla `$PWD/.nvmrc` dosyasına yazar. `.nvmrc` dosyasını kendi dışındaki bir yola sembolik bağlantı olarak işleyen bir depo (git, klonlama sırasında bağlantıyı yeniden oluşturur), bu nedenle `--save` parametresinin kullanıcının yazabildiği herhangi bir dosyayı (kabuk başlangıç dosyası veya `~/.ssh/authorized_keys` gibi) kırpmasına ve içeriğini sürüm dizgesiyle değiştirmesine veya askıda kalan bir bağlantının hedefini oluşturmasına neden olur; bağlantının kendisi değişmeden kaldığı için `git status` temiz görünür. Saldırgan yazılan içeriği kontrol edemez, bu nedenle bu durum kod çalıştırma değil, veri kaybıdır. Sürüm 0.41.0, mevcut dizindeki `.nvmrc` dosyası askıda olsun ya da olmasın bir sembolik bağlantı olduğunda, bunun üzerinden yazmak veya onu değiştirmek yerine bir uyarı vererek yazmayı reddeder.