CVE-2026-71476 in Nrwl
Zusammenfassung
von VulDB • 07.08.2026
Nx ist eine Monorepo-Lösung für TypeScript- und polyglotte Codebasen. Von Version 20.8.0 bis einschließlich 22.7.7 sowie in der Version 23.0.2 extrahiert der Nx-eigene HTTP Remote Cache heruntergeladene Cache-Artefakte, ohne einzuschränken, wohin die Dateien geschrieben werden. Ein bösartiger oder on-path (MITM) Remote-Cache-Server kann ein speziell angefertigtes tar-Archiv zurückgeben, dessen Einträge das Cache-Verzeichnis verlassen und an beliebigen Speicherorten auf dem Rechner schreiben, der Nx ausführt; dies kann zu Remote Code Execution eskaliert werden. Der lokale Standardcache von Nx sowie Nx Cloud sind nicht betroffen; nur Workspaces, die für die Verwendung eines selbst gehosteten Remote-Caches konfiguriert sind, sind betroffen. Dieses Problem wurde in den Versionen 22.7.7 und 23.0.2 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.