Turbopack è uno strumento di build e un bundler per Next.js. Prende il codice dell'applicazione, risolve gli import e produce gli asset e l'output server che un framework utilizza in fase di esecuzione. Come altri bundler, determina il modo in cui route, middleware e moduli vengono organizzati prima che l'app venga distribuita.
In termini di sicurezza, Turbopack è importante perché le scelte di build e routing possono modificare la superficie d'attacco. Un difetto potrebbe non essere in Turbopack stesso, ma in un pattern di deployment che dipende dal suo output, come controlli di autenticazione eseguiti troppo vicino alla logica di routing del framework. Gli aggressori cercano lacune tra le assunzioni fatte in fase di build e il comportamento in runtime, mentre i difensori usano la stessa conoscenza per rivedere le configurazioni, verificare l'autorizzazione nel codice lato server e testare se una specifica configurazione di build espone debolezze nella gestione delle richieste.