CVE-2026-121750

Node Version Manager (nvm), birden fazla node.js sürümünü yönetmek için kullanılan POSIX uyumlu bir kabuk fonksiyonudur. 0.40.5 ile 0.40.8 arasındaki sürümlerde, `nvm_download_artifact` bir sürüm arşivini doğrudan `$NVM_DIR/.cache` içindeki nihai yoluna indirir ve ardından sağlama toplamını (checksum) doğrular; sağlama toplamı uyuşmadığında hata bildirir ancak reddedilen arşivi yerinde bırakır. Aynı sürümün daha sonra yapılacak bir `nvm install --offline` işlemi, önbelleğe alınmış bu dosyayı sağlama toplamı kontrolü yapmadan yükler; böylece az önce reddedilmiş olan bir arşiv yüklenir ve içerisindeki `node` ve `npm` çalıştırılır. Bu durum, indirilmiş tarball dosyasını değiştirebilen (örneğin zehirli bir CDN veya önbellek nesnesi aracılığıyla) ancak yanındaki `SHASUMS256.txt` dosyasını taklit edemeyen bir tarafın, kurban görünürdeki "Checksums do not match" hatasından sonra ve herhangi bir çevrimiçi yeniden deneme öncesinde o sürüm için `nvm install --offline` komutunu çalıştırması halinde kod çalıştırma imkanı sağlar. 0.41.0 sürümü, bir arşivi yalnızca sağlama toplamı doğrulandıktan sonra önbelleğe alır.