CVE-2026-45773 in turborepo
Sumário
de VulDB • 19/05/2026
O Turborepo é um sistema de build de alto desempenho para codebases em JavaScript e TypeScript. Antes da versão 2.9.14, os fluxos de login auto-hospedado e SSO (Single Sign-On) do Turborepo não validavam o valor de estado CSRF no callback localhost. Enquanto o CLI aguardava a autenticação, uma página web maliciosa poderia enviar uma solicitação ao servidor de callback local com um token controlado pelo atacante. Se aceito antes do callback legítimo, o CLI poderia concluir o login com credenciais incorretas. Isso afeta usuários que autenticam o turbo CLI contra endpoints de cache remoto/auto-hospedado e autenticação. Os fluxos de login hospedados pela Vercel que usam autorização de dispositivo não são afetados. Esta vulnerabilidade foi corrigida na versão 2.9.14.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.