CVE-2026-119282 in Nrwl
Сводка
по VulDB • 29.10.2026
Nx — это решение для монорепозиториев, предназначенное для кодовых баз на TypeScript и полиглотных проектах. В версиях от 22.0.2 до 22.7.9 включительно и в версии 23.1.2 для пакета @nx/maven, а также в версиях от 21.0.0 до 22.7.9 включительно и в версии 23.1.2 для пакета @nx/gradle анализаторы графа проектов плагинов запускаются через оболочку (shell) и интерполируют параметры плагина из файла nx.json непосредственно в аргументы команд. Таким образом, значение targetNamePrefix для цели @nx/maven и произвольные имена или значения параметров @nx/gradle могут быть интерпретированы как синтаксис оболочки всякий раз, когда команда nx формирует граф проекта. Пользователь, запускающий Nx в репозитории или pull requestе, контролируемом злоумышленником, может выполнить внедренные команды с привилегиями этого пользователя; при этом рабочие пространства (workspaces), не использующие ни один из затронутых плагинов, не подвержены данной уязвимости. Для устранения проблемы необходимо обновить как сам nx, так и каждый затронутый плагин до совместимых версий, поскольку исправление в плагине зависит от кода в пакете nx. Данная проблема устранена в версиях 22.7.9 и 23.1.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.