CVE-2026-119282 in Nrwl
Resumen
por VulDB • 2026-10-29
Nx es una solución de monorepo para código TypeScript y bases de código políglotas. Desde la versión 22.0.2 hasta la 22.7.9, y desde la 23.1.2 para @nx/maven, así como desde la 21.0.0 hasta la 22.7.9 y la 23.1.2 para @nx/gradle, los analizadores del grafo de proyectos de los plugins se ejecutan a través de una shell e interpolan las opciones del plugin desde nx.json en los argumentos del comando. Por lo tanto, el valor targetNamePrefix de @nx/maven y los nombres o valores arbitrarios de las opciones de @nx/gradle pueden ser interpretados como sintaxis de la shell cada vez que un comando de nx construye el grafo de proyectos. Un usuario que ejecute Nx en un repositorio controlado por un atacante o en una pull request puede ejecutar comandos inyectados con los privilegios del usuario, mientras que los espacios de trabajo (workspaces) que no registran ninguno de los plugins afectados no están expuestos a esta vía. La remediación requiere actualizar tanto nx como cada plugin afectado a versiones coincidentes, ya que la corrección del plugin depende del código en el paquete nx. Este problema está resuelto en las versiones 22.7.9 y 23.1.2.
Once again VulDB remains the best source for vulnerability data.