Vercel, Inc. (旧 Zeit, Inc.)のThe Turborepo Language Server Protocol (LSP)におけるコマンドインジェクションの脆弱性
| Title |
Vercel, Inc. (旧 Zeit, Inc.)のThe Turborepo Language Server Protocol (LSP)におけるコマンドインジェクションの脆弱性
|
| Summary |
TurborepoはJavaScriptおよびTypeScriptのコードベース向けの高性能ビルドシステムです。バージョン2.9.14000以前では、Turborepo LSP VS Code拡張機能がワークスペースから制御される値に基づくシェルコマンドを実行する可能性がありました。この拡張機能は、Turborepoデーモンコマンドおよびタスク実行に文字列ベースのコマンド実行を使用していました。悪意のあるワークスペースは、リポジトリのソースコード内のワークスペース設定やタスク名を通じて細工された値を提供し、その値がシェルコマンドに補間されることがありました。拡張機能が起動されたときやユーザーが拡張機能を介してタスクを実行したときに、これらの値がユーザーのシェルによって解釈され、ローカルのVS Codeプロセスの権限で任意のコマンドが実行される恐れがありました。この脆弱性はバージョン2.9.14000で修正されました。
|
| Possible impacts |
当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution |
正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date |
May 15, 2026, midnight |
| Registration Date |
May 21, 2026, 10:54 a.m. |
| Last Update |
May 21, 2026, 10:54 a.m. |
|
CVSS3.0 : 重要
|
| Score |
7.8
|
| Vector |
CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
Affected System
| Vercel, Inc. (旧 Zeit, Inc.) |
|
The Turborepo Language Server Protocol (LSP) 2.9.14000 未満
|
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
| No |
Changed Details |
Date of change |
| 1 |
[2026年05月21日]
掲載 |
May 21, 2026, 10:54 a.m. |
NVD Vulnerability Information
CVE-2026-46508
| Summary |
Turborepo is a high-performance build system for JavaScript and TypeScript codebases. Prior to 2.9.14000, the Turborepo LSP VS Code extension could execute shell commands derived from workspace-controlled values. The extension used string-based command execution for Turborepo daemon commands and task runs. A malicious workspace could provide crafted values through workspace settings or task names in the repository's source code that were interpolated into shell commands. When the extension activated or when a user ran a task through the extension, those values could be interpreted by the user's shell, allowing arbitrary command execution with the privileges of the local VS Code process. This vulnerability is fixed in 2.9.14000.
|
| Publication Date |
May 16, 2026, 1:16 a.m. |
| Registration Date |
May 17, 2026, 4:12 a.m. |
| Last Update |
May 20, 2026, 12:12 a.m. |
Affected software configurations
| Configuration1 |
or higher |
or less |
more than |
less than |
| cpe:2.3:a:vercel:turborepo_language_server_protocol:*:*:*:*:*:visual_studio_code:*:* |
|
|
|
2.9.14000 |
Related information, measures and tools
Common Vulnerabilities List