CVE-2025-10894
CVE-2025-10894 · Nx: nx/devkit: malicious versions of nx and plugins published to npm
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Malicious code was inserted into the Nx (build system) package and several related plugins. The tampered package was published to the npm software registry, via a supply-chain attack. Affected versions contain code that scans the file system, collects credentials, and posts them to GitHub as a repo under user's accounts.
CVSS 9.6 · Crítica · EPSS 0,6%
- Publicación
- Actualización
Pila tecnológica: node
Productos y versiones afectados
multicluster global hub
Sin corrección publicada
openshift serverless
Sin corrección publicada
red hat advanced cluster management for kubernetes 2
Sin corrección publicada
red hat ansible automation platform 2
Sin corrección publicada
@nx/devkit npm
- Versiones
- 20.9.0
- 21.5.0
Sin corrección publicada
@nx/enterprise-cloud npm
- Versiones
- 3.2.0
Sin corrección publicada
@nx/eslint npm
- Versiones
- 21.5.0
Sin corrección publicada
@nx/js npm
- Versiones
- 20.9.0
- 21.5.0
Sin corrección publicada
@nx/node npm
- Versiones
- 20.9.0
- 21.5.0
Sin corrección publicada
@nx/workspace npm
- Versiones
- 20.9.0
- 21.5.0
Sin corrección publicada
nx npm
- Versiones
- 20.9.0
- 20.10.0
- 20.11.0
- 20.12.0
- 21.5.0
- 21.6.0
- 21.7.0
- 21.8.0
Sin corrección publicada
Fuentes originales
- https://access.redhat.com/security/cve/CVE-2025-10894
- https://access.redhat.com/security/supply-chain-attacks-NPM-packages
- https://bugzilla.redhat.com/show_bug.cgi?id=2396282
- https://github.com/nrwl/nx/security/advisories/GHSA-cxm3-wv7p-598c
- https://www.stepsecurity.io/blog/supply-chain-security-alert-popular-nx-build-system-package-compromised-with-data-stealing-malware
- https://www.wiz.io/blog/s1ngularity-supply-chain-attack
- https://nvd.nist.gov/vuln/detail/CVE-2025-10894