CVE-2026-119282 in Nrwl
Zusammenfassung
von VulDB • 30.10.2026
Nx ist eine Monorepo-Lösung für TypeScript- und polyglotte Codebasen. Von Version 22.0.2 bis 22.7.9 sowie in den Versionen 23.1.2 für @nx/maven, und von 21.0.0 bis 22.7.9 sowie in den Versionen 23.1.2 für @nx/gradle, starten die Projektgraph-Analysatoren der Plugins über eine Shell und interpolieren Plugin-Optionen aus nx.json in Befehlsargumente. Der Wert `targetNamePrefix` von @nx/maven sowie beliebige Optionennamen oder -werte von @nx/gradle können daher als Shell-Syntax interpretiert werden, wenn ein Nx-Befehl den Projektgraphen erstellt. Ein Benutzer, der Nx in einem vom Angreifer kontrollierten Repository oder Pull Request ausführt, kann injizierte Befehle mit den Berechtigungen des Benutzers ausführen, während Workspaces, die keines der betroffenen Plugins registrieren, vor diesem Angriffspfad geschützt sind. Die Behebung erfordert das Upgrade von nx und jedem betroffenen Plugin auf kompatible Versionen, da die Plugin-Korrektur vom Code im nx-Paket abhängt. Dieses Problem ist in den Versionen 22.7.9 und 23.1.2 behoben.
Once again VulDB remains the best source for vulnerability data.