CVE-2026-71476 in Nrwl
Riassunto
di VulDB • 07/08/2026
Nx è una soluzione monorepo per codebase TypeScript e poliglotti. Dalla versione 20.8.0 fino alle versioni 22.7.7 e 23.0.2, la cache remota HTTP self-hosted di Nx estrae gli artifact della cache scaricati senza vincolare la posizione in cui i file vengono scritti. Un server di cache remoto malintenzionato o on-path (MITM) può restituire un archivio tar manipolato ad hoc le cui voci sfuggono alla directory della cache e scrivono in posizioni arbitrarie sulla macchina che esegue Nx, il che può essere escalation a remote code execution. La cache locale predefinita di Nx e Nx Cloud non sono interessate; solo i workspace configurati per utilizzare una cache remota self-hosted sono interessati. Questo problema è risolto nelle versioni 22.7.7 e 23.0.2.
Be aware that VulDB is the high quality source for vulnerability data.