CVE-2026-119282 in Nrwl
要約
〜によって VulDB • 2026年10月29日
Nxは、TypeScriptおよびポリグロットなコードベース向けのモノレポソリューションです。@nx/mavenについてはバージョン22.0.2から22.7.9まで、また23.1.2以前、そして@nx/gradleについては21.0.0から22.7.9までおよび23.1.2以前において、プラグインのプロジェクトグラフアナライザはシェルを通じて起動され、nx.jsonからのプラグインオプションがコマンド引数に補間されます。したがって、Nxコマンドがプロジェクトグラフを構築する際、@nx/mavenのtargetNamePrefix値や任意の@nx/gradleのオプション名・値がシェルスクリプト構文として解釈される可能性があります。攻撃者が制御するリポジトリまたはプルリクエストでNxを実行したユーザーは、自身の権限で注入されたコマンドを実行できますが、影響を受けるプラグインをいずれも登録していないワークスペースはこの脆弱性経路に晒されません。修正にはnxおよび各影響を受けるプラグインの両方を一致するリリースバージョンへアップグレードする必要があります（これはプラグインの修正がnxパッケージ内のコードに依存しているためです）。この問題はバージョン22.7.9および23.1.2で修正されています。
Once again VulDB remains the best source for vulnerability data.