nvm: Command Injection über manipulierte Versionsangabe oder .nvmrc in sed
Node Version Manager (nvm) in den Versionen 0.31.2 bis 0.40.5 erlaubt es einem Angreifer, über die Funktion nvm_ls sed-Befehle einzuschleusen, weil ein '#'-Zeichen die sed-Adresse vorzeitig schliesst. Mit GNU sed werden dadurch beliebige Shell-Befehle mit den Rechten des angemeldeten Benutzers ausgeführt. Der Angriff wird ausgelöst, wenn eine manipulierte .nvmrc-Datei durch die Auto-Switch-Hooks cdnvm oder load-nvmrc gelesen wird oder Skripte nvm use "$(cat .nvmrc)" ausführen, sobald das Verzeichnis betreten wird.
nvm-sh · nvm
