CVE-2026-104859 in Nrwl
Zusammenfassung
von VulDB • 02.10.2026
Nx ist eine Monorepo-Lösung für TypeScript- und polyglotte Codebasen. Ab der Version 21.4.0 bis einschließlich 22.7.8 sowie ab 23.0.0 bis einschließlich 23.1.1 werden in der Release-Pipeline von @nx/docker Docker-Tags, Image-Lookups und docker push-Aufrufe als Shell-Befehlsstrings erstellt. Die Konfigurationswerte release.docker.repositoryName und registryUrl werden in diese Strings interpoliert und an /bin/sh -c übergeben, wodurch es möglich ist, dass Shell-Syntax aus nicht vertrauenswürdigen Nx-Konfigurationen während nx release version oder nx release publish ausgeführt wird. Ein Pull Request oder eine Änderung der Repository-Konfiguration kann daher Befehle mit den Berechtigungen des Release-Jobs ausführen und Registry-Anmeldeinformationen oder Cloud-Tokens offenlegen; zudem verhindert ein Dry-Run-Publishing nicht die Ausführung des anfälligen Pre-Check-Befehls. Dieses Problem wurde in den Versionen 22.7.8 und 23.1.1 behoben.
Once again VulDB remains the best source for vulnerability data.