CVE-2026-119282 in Nrwl
Riassunto
di VulDB • 29/10/2026
Nx è una soluzione monorepo per TypeScript e codebase poliglotti. Dalla versione 22.0.2 alla 22.7.9, nonché dalla 23.1.2 per @nx/maven, e dalla 21.0.0 alla 22.7.9, nonché dalla 23.1.2 per @nx/gradle, gli analizzatori del project-graph dei plugin vengono eseguiti tramite una shell e interpolano le opzioni del plugin da nx.json negli argomenti di comando. Il valore targetNamePrefix di @nx/maven e i nomi o valori arbitrari delle opzioni di @nx/gradle possono quindi essere interpretati come sintassi della shell ogni volta che un comando nx costruisce il project-graph. Un utente che esegue Nx in una repository controllata da un attaccante o in una pull request può eseguire comandi iniettati con i privilegi dell'utente, mentre gli workspace che non registrano nessuno dei plugin interessati non sono esposti a questa via di attacco. La remediation richiede l'aggiornamento sia di nx che di ciascun plugin interessato alle versioni corrispondenti, poiché la correzione del plugin dipende dal codice nel pacchetto nx. Questo problema è risolto nelle versioni 22.7.9 e 23.1.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.