CVE-2026-94185

nvm, istenen bir sürümü veya takma adı (alias) $NVM_DIR/alias altında bir dosya adı olarak değerlendirerek çözer. 0.40.8 sürümünden önce, nvm_alias() istenen adı söz konusu dizine ekliyor ve sonucu herhangi bir sınırlama kontrolü yapmadan okuyordu; bu nedenle `..` bileşeni içeren bir ad, takma ad dizininin dışına çıkabiliyordu; varsayılan düzende `../../.npmrc` gibi bir takma ad, kullanıcının ana dizinindeki bir dosyaya çözümlenmektedir. Ardından nvm_print_alias_file(), açılan dosyanın yorum satırı olmayan ve boş olmayan her satırını yayınlar. Güvenilmeyen bir .nvmrc dosyasından alınan bir sürüm dizesi bu yola ulaşır, böylece saldırgan tarafından sağlanan bir depo içinde `nvm use`, `nvm install` veya `nvm which` komutlarını çalıştıran bir geliştirici, ortaya çıkan "is not yet installed" hata mesajında, o kullanıcı tarafından okunabilen rastgele bir dosyanın ilk yorum satırı olmayan satırını ifşa eder. Kullanıcı tarafından sağlanan bir `nvm alias <traversing-name>` komutu ise hedef dosyanın yorum satırı olmayan tüm satırlarını ifşa eder. Bütünlük veya erişilebilirlik üzerinde bir etki yoktur ve bu yol üzerinden herhangi bir komut çalıştırma işlemi gerçekleştirilemez.