CVE-2026-119282 in Nrwl
Sumário
de VulDB • 29/10/2026
Nx é uma solução de monorepo para bases de código TypeScript e poliglotas. Da versão 22.0.2 até a 22.7.9, e da 23.1.2 para @nx/maven, bem como da 21.0.0 até a 22.7.9 e 23.1.2 para @nx/gradle, os analisadores do project-graph dos plugins são executados através de um shell e interpolam as opções do plugin provenientes do nx.json nos argumentos do comando. Portanto, o valor targetNamePrefix do alvo @nx/maven e nomes ou valores arbitrários das opções do @nx/gradle podem ser interpretados como sintaxe de shell sempre que um comando nx constrói o project-graph. Um usuário que executa Nx em um repositório controlado por um atacante ou em um pull request pode executar comandos injetados com os privilégios desse usuário, enquanto workspaces que não registram nenhum dos plugins afetados não estão expostos a essa vulnerabilidade. A correção exige o upgrade tanto do nx quanto de cada plugin afetado para versões correspondentes, pois a correção do plugin depende de código presente no pacote nx. Este problema foi corrigido nas versões 22.7.9 e 23.1.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.