CVE-2026-121748

Node Version Manager (nvm), birden fazla node.js sürümünü yönetmek için kullanılan POSIX uyumlu bir kabuk fonksiyonudur. 0.27.0 ile 0.40.8 arasındaki sürümlerde, bir projenin `.npmrc` dosyası `prefix` değerini ayarladığında, `nvm use` komutu kullanıcıya `nvm use --delete-prefix` komutunu çalıştırmasını söyler; bu da mevcut dizinde herhangi bir yapılandırma dosyası belirtmeden `npm config delete prefix` ve `npm config delete globalconfig` komutlarını çalıştırır. npm, hangi dosyanın düzenleneceğine karar vermeden önce projenin `.npmrc` dosyasını yükler, böylece hedef dosya bu şekilde belirlenmiş olur: `userconfig=~/.bashrc` ayarı, npm'nin `~/.bashrc` dosyasını ini formatında yeniden yazmasına (dosyayı bozmasına) neden olur ve `location=global` ile `globalconfig=` ayarları seçilen dosyayı 0666 modunda bırakarak paylaşımlı bir makinede başka bir yerel kullanıcının dosyaya yazmasına izin verir. Saldırgan (klonlanmış bir depo veya arşivin yazarı ya da paylaşımlı bir üst dizine yazabilen yerel bir kullanıcı), yazılan baytları değil ancak etkilenen dosyayı seçer ve hiçbir proje kodu çalışmaz. 0.41.0 sürümü, artık bir proje `.npmrc` dosyasının `--delete-prefix` tarafından hangi yapılandırma dosyasının düzenleneceğini seçmesine izin vermemektedir.