CVE-2026-119282 in Nrwl
요약
\~에 의해 VulDB • 2026. 10. 29.
Nx는 TypeScript 및 다중 언어 코드베이스를 위한 monorepo 솔루션입니다. @nx/maven의 경우 22.0.2부터 22.7.9까지, 그리고 23.1.2 버전과, @nx/gradle의 경우 21.0.0부터 22.7.9까지 및 23.1.2 버전에서 플러그인의 project-graph 분석기는 셸을 통해 실행되며 nx.json의 플러그인 옵션이 명령 인수로 보간됩니다. 따라서 nx 명령이 프로젝트 그래프를 구성할 때 @nx/maven의 targetNamePrefix 값과 임의의 @nx/gradle 옵션 이름 또는 값은 셸 구문으로 해석될 수 있습니다. 공격자가 제어하는 저장소나 풀 리퀘스트에서 Nx를 실행하는 사용자는 자신의 권한으로 주입된 명령을 실행할 수 있으며, 영향을 받는 플러그인을 등록하지 않은 워크스페이스는 이 경로에 대해 노출되지 않습니다. 대응책으로는 nx와 각 영향받는 플러그인 모두 일치하는 릴리스로 업그레이드해야 합니다(플러그인의 수정 사항이 nx 패키지의 코드에 의존하기 때문). 이 문제는 버전 22.7.9 및 23.1.2에서 해결되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.