| タイトル | Vercel, Inc. (旧 Zeit, Inc.)のTurborepoにおける信頼できない検索パスに関する脆弱性 |
|---|---|
| 概要 | TurborepoはJavaScriptおよびTypeScriptコードベース向けの高性能ビルドシステムです。バージョン1.1.0から2.9.14未満の間、悪意のあるYarn構成を含む信頼できないリポジトリで実行した場合、任意のコードを実行される脆弱性が存在しました。影響を受けるバージョンでは、パッケージマネージャの検出時にプロジェクトディレクトリからyarn --versionが実行され、これにより.yarnrc.ymlのプロジェクト管理下のyarnPathをYarnが読み込み、コードを実行する可能性がありました。リポジトリの内容を制御できる攻撃者は、ユーザーまたはCIシステムが影響を受けるturbo、@turbo/codemod、または@turbo/workspaceの変換コマンドを実行した際にコードを実行させることが可能でした。この脆弱性はバージョン2.9.14で修正されました。 |
| 想定される影響 | 当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| 対策 | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年5月15日0:00 |
| 登録日 | 2026年5月21日10:54 |
| 最終更新日 | 2026年5月21日10:54 |
| CVSS3.0 : 緊急 | |
| スコア | 9.8 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Vercel, Inc. (旧 Zeit, Inc.) |
| Turborepo 1.1.0 以上 2.9.14 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年05月21日] 掲載 |
2026年5月21日10:54 |
| 概要 | Turborepo is a high-performance build system for JavaScript and TypeScript codebases. From 1.1.0 to before 2.9.14, Turborepo can be vulnerable to arbitrary code execution when run in untrusted repositories that contain malicious Yarn configuration. In affected versions, package manager detection executed yarn --version from the project directory, which could cause Yarn to load and execute a project-controlled yarnPath from .yarnrc.yml. An attacker who controls repository contents could cause code execution when a user or CI system runs affected turbo, @turbo/codemod, or @turbo/workspace conversion commands. This vulnerability is fixed in 2.9.14. |
|---|---|
| 公表日 | 2026年5月16日1:16 |
| 登録日 | 2026年5月17日4:12 |
| 最終更新日 | 2026年5月19日23:41 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:vercel:turborepo:*:*:*:*:*:node.js:*:* | 1.1.0 | 2.9.14 | |||