CVE-2026-45772
Təsvir
Turborepo, JavaScript və TypeScript kod bazaları üçün yüksək performanslı build sistemidir. 1.1.0 versiyasından 2.9.14 versiyasına qədər olan Turborepo, zərərli Yarn konfiqurasiyası ehtiva edən etibarsız repozitoriyalarda işlədildikdə ixtiyari kodun icrasına qarşı həssas ola bilər. Təsirə məruz qalan versiyalarda paket menecerinin təyini layihə kataloqundan `yarn --version` əmrini icra edirdi ki, bu da Yarn-ın `.yarnrc.yml` faylından layihə tərəfindən idarə olunan `yarnPath`-i yükləməsinə və icra etməsinə səbəb ola bilərdi. Repozitoriyanın məzmununu idarə edən hücumçu, istifadəçi və ya CI sistemi təsirə məruz qalan `turbo`, `@turbo/codemod` və ya `@turbo/workspace` çevirmə əmrlərini icra etdikdə kodun icrasını təmin edə bilərdi. Bu boşluq 2.9.14 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- vercel turborepo2.9.14 və ya daha yeni versiya
- turbo2.9.14 və ya daha yeni versiya
- @turbo/codemod2.9.14 və ya daha yeni versiya
- @turbo/workspaces2.9.14 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vercel turborepo | 1.1.0 ≤ v < 2.9.14 | 2.9.14 |
| turbonpm | 1.1.0 ≤ v < 2.9.14 | 2.9.14 |
| @turbo/codemodnpm | 2.3.4 ≤ v < 2.9.14 | 2.9.14 |
| @turbo/workspacesnpm | 2.3.4 ≤ v < 2.9.14 | 2.9.14 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.