CVE-2026-118905
nvm_ls lets an untrusted version string inject sed commands, executing arbitrary commands with GNU sed
P3 CVSS最高 7.1
公式ソースで確認された事実（機械抽出）
| 公式説明（原文・英語） | Node Version Manager (nvm) is a POSIX-compliant shell function for managing multiple node.js versions. In versions 0.31.2 through 0.40.5, `nvm_ls` filters installed versions with a sed program that embeds the requested version pattern in a `\#...#` address, escaping `.` (and, since 0.40.4, `#`) but not backslash. A version string containing `#` (or `\#`) therefore closes the address early, and the rest of it is parsed as sed commands: with GNU sed, the `e` command runs a shell command as the user; with BSD sed, the `w` and `r` commands write and read files. This is reachable whenever an attacker-influenced version string is passed to `nvm use`, `nvm which`, `nvm ls`, `nvm version`, `nvm run`, or `nvm exec`, or to `nvm-exec` via `NODE_VERSION`, and at least one version is installed. nvm's own `.nvmrc` parser strips comments, so a bare `nvm use` is not affected; however, the bash `cdnvm` and zsh `load-nvmrc` auto-switch hooks documented in the README read `.nvmrc` as-is and pass it to `nvm ls` and `nvm version`, so a user with one of those hooks installed runs the attacker's command just by changing into a directory under a malicious `.nvmrc`; scripts that run `nvm use "$(cat .nvmrc)"` are affected the same way. Version 0.40.6 passes any version pattern containing `#` or a newline through the `.nvmrc` content parser first, so no `#` reaches the sed program. |
|---|---|
| 悪用状況 | 不明 |
| KEV（米CISA既知悪用脆弱性カタログ） | 未登録（確認 —）。KEV未掲載は「悪用されていない」ことを意味しません。 |
| CVSS評価 | 7ffcee3d-2c14-4c3e-b844-86c6a321a158 CVSS 3.1: 7.0 7ffcee3d-2c14-4c3e-b844-86c6a321a158 CVSS 4.0: 7.1 7ffcee3d-2c14-4c3e-b844-86c6a321a158: CVSS:3.1/AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H 7ffcee3d-2c14-4c3e-b844-86c6a321a158: CVSS:4.0/AV:L/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R: |
| EPSS（今後30日以内の悪用確率・FIRST） | — |
| 修正バージョン | 公表なし |
| 公表日 | 2026年10月29日 14:22 |
| 最終更新 | 2026年10月29日 15:17 |
| 最終確認 | 2026年10月29日 15:56 |
対象製品・バージョン
| 製品 | 影響バージョン | 修正バージョン | ベンダー修正済み | 利用者対応要否 |
|---|---|---|---|---|
| nvm-sh nvm | 0.31.2 | — | 未告知 | 未告知 |
「ベンダー修正済み」と「利用者対応要否」は別の事実として管理しています（ベンダー修正済みでも利用者側の更新が必要です）。
出典・根拠
| ソース | URL | 取得時刻 | 本文ハッシュ（先頭12桁） |
|---|---|---|---|
| CVE公式（CVE List） cvelist | 一次情報を開く | 2026年10月29日 15:56 | 3226778faa3a |
| NVD nvd | 一次情報を開く | 2026年10月29日 15:56 | 3fbf7bfd72dd |
| NVD nvd | 一次情報を開く | 2026年10月29日 15:56 | a9cb72d0b5be |
| NVD nvd | 一次情報を開く | 2026年10月29日 15:56 | 9b54c5b79707 |
数値・バージョン・日付は原文から機械抽出したものです。取得時刻はJST表記。日本語文面は自動生成であり、公式発表を置き換えるものではありません。
AIによる補助要約
AIによる補助要約は無効化されています（無料運用のため既定ではオフ）。一次情報をご確認ください。