CVE-2026-121747

Node Version Manager (nvm), birden fazla node.js sürümünü yönetmek için kullanılan POSIX uyumlu bir kabuk fonksiyonudur. 0.2.0 ile 0.40.8 arasındaki sürümlerde nvm, `.nvmrc` dosyasının sembolik bir bağlantı olup olmadığını kontrol etmez. `.nvmrc` dosyasını başka bir dosyaya (örneğin `../../.npmrc` veya Linux üzerinde `/proc/self/environ`) sembolik bağlantı olarak sunan bir depo veya arşiv; basit bir `nvm use`, `nvm install`, `nvm which`, `nvm exec`, `nvm run` veya `nvm-exec` komutunun söz konusu dosyayı okumasını ve içeriğini geçersiz-`.nvmrc` mesajında (`--silent` parametresi olsa dahi) veya tek satırlık bir dosya ise `Found ... with version <...>` mesajında yazdırmasını sağlar; README'deki zsh `load-nvmrc` veya bash `cdnvm` kancası yüklüyse, dizine girmek yeterlidir. nvm içeriği hiçbir yere göndermez; saldırgan bu içeriği yalnızca katkıda bulunulan bir dal için CI günlüğü gibi mağdurun çıktısını görebildiği yerlerde öğrenebilir. Sürüm 0.41.0 hala sembolik bağlantılı bir `.nvmrc` dosyasını takip eder, dolayısıyla başka bir sürüm dosyasına verilen kasıtlı bağlantılar çalışmaya devam eder ancak içeriği asla yazdırmaz ve dosyayı yalnızca bir sürüm veya mevcut bir takma ad adı içeriyorsa kabul eder; `.nvmrc` dosyasını kendisi okuyan README'deki bash `cdnvm` kancası artık sürümü nvm üzerinden aldığı için, bu kancayı kullanan kullanıcıların kendi kopyalarını da güncellemesi gerekir.