CVE-2026-121749

Node Version Manager (nvm), birden fazla node.js sürümünü yönetmek için kullanılan POSIX uyumlu bir kabuk fonksiyonudur. 0.5.0 ile 0.40.8 arasındaki sürümlerde, talep edilen sürüm deseni `nvm_ls_remote_index_tab`, `nvm_remote_version` ve `nvm_ls_cached` fonksiyonlarında `grep` komutuna `-e` parametresi olmadan yalın bir argüman olarak aktarılmaktadır. İlk satırı `-Rohenpm_[A-Za-z0-9]*` gibi `-` ile başlayan bir `.nvmrc` dosyası, grep seçenekleri olarak ayrıştırılır; GNU grep kullanıldığında `-R` seçeneği, sürüm listesi yerine mevcut dizini özyinelemeli olarak (sembolik bağlantıları takip ederek) tarar. Yalın bir `nvm install` işleminde nvm, bu dosyalardan eşleşen bir dizeyi sürüm olarak kabul eder, bunu yazdırır ve indirme URL'leri içindeki yapılandırılmış aynadan talep eder; örneğin, `../../.npmrc` dosyasına sembolik bağlantı içeren bir depo, kullanıcının npm belirtecinin (token) terminale, aynanın günlüklerine ve varsa herhangi bir ara sunucunun (proxy) günlüklerine sızmasına neden olabilir. Bu bilgi ifşası salt okunurdur ve `0-9A-Za-z._+-` karakterleri ile sınırlıdır. Sürüm 0.41.0, her sürüm desenini grep'e `-e` ile aktarmaktadır.