الفرق اللي كيجربو repos من برا ولا pull requests خاصهم يتأكدو من version ديال Nx اللي خدامين بها. واحد التنبيه ديال السيبرسيكيوريتي تْنشر نهار 30 أكتوبر 2026 كيهضر على ثغرة ديال حقن الأوامر كتمس plugins @nx/gradle و@nx/maven. الثغرة عندها المرجع CVE-2026-119282 والتقييم ديالها 7,8 من 10، يعني مستوى عالي.
المشكل كاين فمرحلة تحليل project graph. هاد الجوج plugins كانو كيشغلو analyzers ديال Gradle وMaven عبر shell، وكيزيدو مباشرة options ديال plugin اللي كيقراوها من ملف nx.json. إلا كانت شي قيمة فيها syntax كيفهمها shell، تقدر هاد option تولّي أمر كيتنفذ.
فالسيناريو الواقعي، شي واحد كيcloneي repo خبيث، ولا كيدير checkout لواحد pull request فيها تعديل فnx.json، ومن بعد كيشغّل command ديال Nx كتكوّن project graph. الأمر اللي تدار بالحقن يقدر يتنفذ بالصلاحيات ديال الaccount اللي خدام به الdeveloper. يعني ماشي code كيتشغل بوحدو: خاص الضحية تشغّل command ديال Nx باش يوقع التنفيذ.
الversions اللي داخلة فالمشكل هي جميع الإصدارات من 21.0.0 حتى قبل 22.7.9، وزايد الإصدارات من 23.0.0 حتى قبل 23.1.2. الإصلاح كاين فNx 22.7.9 اللي خرج نهار 1 شتنبر 2026، وف23.1.2 اللي خرج نهار 26 غشت 2026. Release notes كيبينو باللي تحليل graphs ديال Maven وGradle ما بقاش كيدوز عبر shell.
قبل ما تفتحو مشروع من شي مصدر آخر، حدّثو Nx، راجعو التغييرات فnx.json، وما تشغلوش commands دغيا فclone ما متأكدينش منو. إلى كنتو كاتجربو contributions ما معروفينش، استعملو environnement معزول وبصلاحيات محدودة باش تنقصو من التأثير المحتمل. هاد الحيطة مهمة بزاف فمراجعة الكود، فين حتى تعديل صغير فconfig يقدر يبان عادي.
