Vercel, Inc. (旧 Zeit, Inc.)のTurborepoにおける信頼できない検索パスに関する脆弱性
| Title |
Vercel, Inc. (旧 Zeit, Inc.)のTurborepoにおける信頼できない検索パスに関する脆弱性
|
| Summary |
TurborepoはJavaScriptおよびTypeScriptコードベース向けの高性能ビルドシステムです。バージョン1.1.0から2.9.14未満の間、悪意のあるYarn構成を含む信頼できないリポジトリで実行した場合、任意のコードを実行される脆弱性が存在しました。影響を受けるバージョンでは、パッケージマネージャの検出時にプロジェクトディレクトリからyarn --versionが実行され、これにより.yarnrc.ymlのプロジェクト管理下のyarnPathをYarnが読み込み、コードを実行する可能性がありました。リポジトリの内容を制御できる攻撃者は、ユーザーまたはCIシステムが影響を受けるturbo、@turbo/codemod、または@turbo/workspaceの変換コマンドを実行した際にコードを実行させることが可能でした。この脆弱性はバージョン2.9.14で修正されました。
|
| Possible impacts |
当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution |
正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date |
May 15, 2026, midnight |
| Registration Date |
May 21, 2026, 10:54 a.m. |
| Last Update |
May 21, 2026, 10:54 a.m. |
|
CVSS3.0 : 緊急
|
| Score |
9.8
|
| Vector |
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Affected System
| Vercel, Inc. (旧 Zeit, Inc.) |
|
Turborepo 1.1.0 以上 2.9.14 未満
|
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
| No |
Changed Details |
Date of change |
| 1 |
[2026年05月21日]
掲載 |
May 21, 2026, 10:54 a.m. |
NVD Vulnerability Information
CVE-2026-45772
| Summary |
Turborepo is a high-performance build system for JavaScript and TypeScript codebases. From 1.1.0 to before 2.9.14, Turborepo can be vulnerable to arbitrary code execution when run in untrusted repositories that contain malicious Yarn configuration. In affected versions, package manager detection executed yarn --version from the project directory, which could cause Yarn to load and execute a project-controlled yarnPath from .yarnrc.yml. An attacker who controls repository contents could cause code execution when a user or CI system runs affected turbo, @turbo/codemod, or @turbo/workspace conversion commands. This vulnerability is fixed in 2.9.14.
|
| Publication Date |
May 16, 2026, 1:16 a.m. |
| Registration Date |
May 17, 2026, 4:12 a.m. |
| Last Update |
May 19, 2026, 11:41 p.m. |
Affected software configurations
| Configuration1 |
or higher |
or less |
more than |
less than |
| cpe:2.3:a:vercel:turborepo:*:*:*:*:*:node.js:*:* |
1.1.0 |
|
|
2.9.14 |
Related information, measures and tools
Common Vulnerabilities List