CVE-2026-104859
Açıklama
Nx, TypeScript ve çok dilli kod tabanları için bir monorepo çözümüdür. 21.4.0 ile 22.7.8 arası ve 23.0.0 ile 23.1.1 arası sürümlerde, @nx/docker sürüm yayınlama hattı; docker etiketi, imaj arama ve docker push çağrılarını kabuk komutu dizileri olarak oluşturur. release.docker.repositoryName ve registryUrl yapılandırma değerleri bu dizilere eklenir ve /bin/sh -c parametresine aktarılır; bu durum, güvenilmeyen Nx yapılandırmasındaki kabuk sözdiziminin nx release version veya nx release publish sırasında çalıştırılmasına olanak tanır. Bu nedenle, bir çekme isteği (pull request) veya depo yapılandırma değişikliği, sürüm yayınlama işinin ayrıcalıklarıyla komutlar çalıştırabilir ve kayıt defteri kimlik bilgilerini veya bulut belirteçlerini açığa çıkarabilir; ayrıca kuru çalıştırma (dry-run) yayınlaması, savunmasız ön kontrol komutunun yürütülmesini engellemez. Bu sorun 22.7.8 ve 23.1.1 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- @nx/docker22.7.8, 23.1.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @nx/dockernpm | 21.4.0 ≤ v < 22.7.8, 23.0.0 ≤ v < 23.1.1 | 22.7.8, 23.1.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.