CVE-2026-45773

ŚrednieCVSS 6.5

Opublikowano: 15/05/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.12%

Percentyl 2 - wyżej niż 2% wszystkich znanych CVE

Streszczenie

Turborepo to system budowania dla JavaScript i TypeScript. Przed wersją 2.9.14 przepływy logowania i SSO w przeglądarce dla samodzielnie hostowanego serwera nie walidowały wartości stanu CSRF w wywołaniu zwrotnym localhost; złośliwa strona mogła wysłać żądanie z tokenem kontrolowanym przez atakującego, a CLI mogło zakończyć logowanie z niewłaściwymi poświadczeniami. Podatność naprawiono w wersji 2.9.14.

Ocena ryzyka

Atakujący może doprowadzić do zalogowania CLI z niewłaściwymi poświadczeniami, co może skutkować nieautoryzowanym dostępem do zdalnego bufora/uwierzytelniania.

Rekomendacja

Zaktualizuj Turborepo do wersji 2.9.14 lub nowszej.

Inne podatności w Turborepo

CVE-2026-45772Krytyczne
Turborepo, system budowania dla kodów JavaScript i TypeScript, jest podatny na wykonanie dowolnego kodu w wersjach od 1.1.0 do przed 2.9.14, gdy jest uruchamiany w niezaufanych repozytoriach z złośliwą konfiguracją Yarn. Wykrywanie menedżera pakietów wykonuje polecenie yarn --version, co może prowadzić do załadowania i wykonania kodu z .yarnrc.yml kontrolowanego przez atakującego.

Oryginalny opis (angielski, źródło NVD)

Turborepo is a high-performance build system for JavaScript and TypeScript codebases. Prior to 2.9.14, Turborepo's self-hosted login and SSO browser flows did not validate a CSRF state value on the localhost callback. While the CLI was waiting for authentication, a malicious web page could send a request to the local callback server with an attacker-controlled token. If accepted before the legitimate callback, the CLI could complete login with the wrong credentials. This affects users authenticating the turbo CLI against self-hosted remote cache/auth endpoints. Vercel-hosted login flows using device authorization are not affected. This vulnerability is fixed in 2.9.14.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS