CVE-2026-45772
CVE-2026-45772 · Turborepo: Unexpected local code execution during Yarn Berry detection
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Turborepo is a high-performance build system for JavaScript and TypeScript codebases. From 1.1.0 to before 2.9.14, Turborepo can be vulnerable to arbitrary code execution when run in untrusted repositories that contain malicious Yarn configuration. In affected versions, package manager detection executed yarn --version from the project directory, which could cause Yarn to load and execute a project-controlled yarnPath from .yarnrc.yml. An attacker who controls repository contents could cause code execution when a user or CI system runs affected turbo, @turbo/codemod, or @turbo/workspace conversion commands. This vulnerability is fixed in 2.9.14.
CVSS 0.0 · Faible · EPSS 0,4% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: node
Produits et versions concernés
turborepo
- Versions du logiciel
- >= 1.1.0, < 2.9.14: Concernée
Aucun correctif publié
codemod
- Versions du logiciel
- >= 2.3.4, < 2.9.14: Concernée
Aucun correctif publié
workspaces
- Versions du logiciel
- >= 2.3.4, < 2.9.14: Concernée
Aucun correctif publié
turbo npm
- Plages de versions concernées
- SEMVER: ≥ 1.1.0, < 2.9.14
Mettez à jour vers 2.9.14
@turbo/codemod npm
- Plages de versions concernées
- SEMVER: ≥ 2.3.4, < 2.9.14
Mettez à jour vers 2.9.14
@turbo/workspaces npm
- Plages de versions concernées
- SEMVER: ≥ 2.3.4, < 2.9.14
Mettez à jour vers 2.9.14