Vulnerabilidad en nvm de nvm-sh (CVE-2026-10796)

Gravedad CVSS v4.0:

ALTA

Tipo:

CWE-78 Neutralización incorrecta de elementos especiales usados en un comando de sistema operativo (Inyección de comando de sistema operativo)

Fecha de publicación:

04/06/2026

Última modificación:

22/07/2026

Descripción

nvm (Node Version Manager) hasta la versión 0.40.4 ejecuta comandos arbitrarios a partir de cadenas de versión suministradas por el espejo de Node.js/io.js configurado. Comandos como &#39;nvm install&#39; leen las versiones disponibles del archivo index.tab del espejo y usan la versión seleccionada, sin sanitización, para construir URLs de descarga y comandos de shell/awk. Dos sumideros se ven afectados por la misma entrada no confiable: nvm_download() construyó una cadena de comando curl/wget y la ejecutó con &#39;eval&#39;, por lo que un campo de versión que contenía sustitución de comandos (por ejemplo, $(id)) fue ejecutado por el shell local; y nvm_get_checksum() interpoló el &#39;slug&#39; de descarga derivado de la versión en un programa awk, por lo que una versión manipulada podría ejecutar comandos arbitrarios a través de system() de awk. Un atacante que controla el espejo configurado, suministra contenido del espejo a un usuario o CI en un espejo no predeterminado, o realiza un ataque de intermediario en un espejo sin TLS, puede, por lo tanto, ejecutar comandos arbitrarios con los privilegios del usuario que ejecuta nvm. El espejo predeterminado (HTTPS://nodejs.org sobre TLS) no se ve afectado. Corregido en &#39;master&#39; (pendiente de la próxima versión etiquetada) pasando cada argumento como un elemento literal de argv en lugar de usar &#39;eval&#39;, pasando el valor a awk como datos a través de -v en lugar de interpolarlo en el programa, y rechazando cualquier versión fuera de la gramática de versiones de Node.js/io.js antes de que sea utilizada.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Present
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Activo
Confidentiality (VC): Alto
Integrity (VI): Alto
Availability (VA): Alto
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0

7.50

Gravedad 4.0

ALTA

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto