Les équipes qui testent des dépôts externes ou des pull requests doivent vérifier leur version de Nx. Un avis de sécurité publié le 30 octobre 2026 signale une injection de commandes affectant les plugins @nx/gradle et @nx/maven. La vulnérabilité est référencée CVE-2026-119282 et évaluée à 7,8 sur 10, soit un niveau élevé.
Le problème se situe dans l’analyse du graphe de projets. Les deux plugins lançaient leurs analyseurs Gradle et Maven via un shell, en intégrant directement des options de plugin lues dans le fichier nx.json. Or, une valeur contenant une syntaxe interprétée par le shell peut transformer cette option en commande exécutable.
Dans un scénario concret, une personne clone un dépôt hostile, ou récupère une pull request qui modifie nx.json, puis lance une commande Nx construisant le graphe du projet. La commande injectée peut alors s’exécuter avec les droits du compte utilisé par le développeur. L’avis ne décrit donc pas un code qui s’exécuterait sans action : l’exécution d’une commande Nx par la victime reste nécessaire.
Sont concernées toutes les versions à partir de 21.0.0 et antérieures à 22.7.9, ainsi que les versions à partir de 23.0.0 et antérieures à 23.1.2. Les correctifs sont disponibles dans Nx 22.7.9, publié le 1er septembre 2026, et 23.1.2, publié le 26 août 2026. Les notes de version indiquent que l’analyse des graphes Maven et Gradle n’est plus exécutée à travers un shell.
Avant d’ouvrir un projet tiers, les équipes concernées ont intérêt à mettre Nx à jour, à examiner les changements apportés à nx.json et à éviter de lancer immédiatement des commandes dans un clone non vérifié. Pour les tests de contributions inconnues, un environnement isolé avec des droits limités réduit aussi l’impact potentiel. Cette vigilance s’applique particulièrement aux workflows de revue, où un simple changement de configuration peut sembler anodin.
