CVE-2026-46508
Açıklama
Turborepo, JavaScript ve TypeScript kod tabanları için yüksek performanslı bir derleme sistemidir. 2.9.14000 sürümünden önce, Turborepo LSP VS Code uzantısı, çalışma alanı tarafından kontrol edilen değerlerden türetilen kabuk komutlarını çalıştırabiliyordu. Uzantı, Turborepo daemon komutları ve görev çalıştırmaları için dize tabanlı komut yürütme kullanıyordu. Kötü niyetli bir çalışma alanı, depo kaynak kodundaki çalışma alanı ayarları veya görev adları aracılığıyla, kabuk komutlarına eklenen özel olarak hazırlanmış değerler sağlayabilirdi. Uzantı etkinleştirildiğinde veya bir kullanıcı uzantı üzerinden bir görevi çalıştırdığında, bu değerler kullanıcının kabuğu tarafından yorumlanarak yerel VS Code işleminin ayrıcalıklarıyla rastgele komut çalıştırılmasına izin verebilirdi. Bu güvenlik açığı 2.9.14000 sürümünde giderilmiştir.
Nasıl düzeltilir
- vercel turborepo_language_server_protocol2.9.14000 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vercel turborepo_language_server_protocol | v < 2.9.14000 | 2.9.14000 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.