CVE-2026-59944
ŚrednieCVSS 6.1Streszczenie
Composer w wersjach od 1.0 do 2.2.30 oraz od 2.3.0 do 2.10.3 pozwala złośliwej lub przejętej zależności obejść wcześniejsze zabezpieczenie ścieżek binarnych z CVE-2026-59946. Poprzez dowiązanie symboliczne w pakiecie lub metadane installed.json atakujący może wskazać ścieżkę binarną poza katalogiem instalacji, a Composer może zmienić uprawnienia zewnętrznego pliku i utworzyć wykonywalny proxy w vendor/bin.
Ocena ryzyka
Może to prowadzić do zmiany uprawnień plików poza katalogiem instalacji i utworzenia wykonywalnego proxy, co potencjalnie umożliwia dalsze ataki. Podatność nie zapewnia bezpośrednio zdalnego wykonania kodu ani nie odczytuje danych.
Rekomendacja
Zaktualizuj Composer do wersji 2.2.30 lub 2.10.3 (lub nowszej), które zawierają poprawkę tego problemu.
Inne podatności w Composer
Zobacz wszystkie- CVE-2026-84361Wysokie
Composer, menedżer zależności dla PHP, ma podatność w wersjach od 1.0 do 2.2.30 i 2.10.3. Złośliwy pakiet z niestandardowego repozytorium lub niezaufany plik composer.lock może ustawić source.type na perforce i source.url na wartość P4PORT zaczynającą się od rsh: lub jsh:. Gdy klient Perforce p4 jest zainstalowany, a Composer instaluje pakiet ze źródła, p4 wykonuje lokalne polecenie z uprawnieniami użytkownika lub konta CI.
- CVE-2026-45793Wysokie
Podatność w Composerze, menedżerze zależności dla PHP, pozwala na ujawnienie tokenów OAuth GitHub w logach błędów. Walidacja tokenów za pomocą wyrażenia regularnego odrzuca tokeny GITHUB_TOKEN zawierające znak '-', a ich wartość jest interpolowana do komunikatu wyjątku, co prowadzi do wycieku do stderr lub logów CI.
- CVE-2026-59948Wysokie
Podatność w menedżerze zależności Composer dla języka PHP pozwala atakującemu na zapis plików poza katalogiem vendor i projektem podczas instalacji lub aktualizacji pakietów. Problem występuje, gdy pakiet z niezaufanego repozytorium (innego niż Packagist.org lub Private Packagist) zawiera nieprawidłową nazwę, która nie jest poprawnie walidowana przed zapisem wyników rozwiązywania zależności.
- CVE-2026-59947Średnie
Composer, menedżer zależności dla PHP, w wersjach przed 2.2.29 i 2.10.2 wyciekał dane uwierzytelniające (np. tokeny GitHub) do wyjścia debugowania przy użyciu flagi -vvv. Problem wynikał z braku sanitizacji poświadczeń w nazwie użytkownika w URL-u repozytorium lub pakietu.
- CVE-2026-59946Średnie
Podatność w menedżerze zależności Composer dla języka PHP pozwala na zmianę uprawnień istniejącego pliku na odczytywalny i wykonywalny dla wszystkich użytkowników. Problem występuje podczas instalacji, aktualizacji lub dodawania pakietów, gdy wpis bin w pakiecie zawiera segmenty ścieżki '..'.
- CVE-2026-40261Wysokie
Composer w wersjach 1.0 do 2.2.26 i 2.3 do 2.9.5 zawiera podatność na wstrzykiwanie poleceń w metodach Perforce::syncCodeBase() i Perforce::generateP4Command(). Atakujący może wstrzyknąć dowolne polecenia poprzez spreparowane wartości źródłowe (source reference lub source url) zawierające metaznaki powłoki, nawet jeśli Perforce nie jest zainstalowane.
- CVE-2026-40176Wysokie
Podatność na wstrzykiwanie poleceń w metodzie Perforce::generateP4Command() w Composerze, menedżerze zależności dla PHP. Atakujący może wstrzyknąć dowolne polecenia poprzez parametry połączenia Perforce (port, użytkownik, klient) w złośliwym pliku composer.json, co prowadzi do wykonania poleceń w kontekście użytkownika uruchamiającego Composera.
Oryginalny opis (angielski, źródło NVD)
Composer is a dependency Manager for the PHP language. From 1.0 until 2.2.30 and from 2.3.0 until 2.10.3, a malicious or compromised dependency can bypass the earlier CVE-2026-59946 binary-path hardening because Composer validates literal parent-directory segments only during dependency resolution, while the symlink and installed-metadata paths described by the advisory skip that validation. A package can ship an in-package binary symlink that resolves outside its installation directory, or attacker-influenced vendor/composer/installed.json metadata can provide an escaping binary path during a reinstall or regeneration of missing vendor/bin entries. The installed-metadata path is reachable only when the vendor directory was not populated by the same validated install run, such as when it is restored from an untrusted cache, copied from an earlier build stage, carried over from an older Composer run, or writable by a lower-trust build step. Composer can follow the path, change the external target's permissions to make it world-readable and executable, and create a runnable vendor/bin proxy to that external file. The issue does not directly read or transmit data and does not by itself provide remote code execution. This issue is fixed in versions 2.2.30 and 2.10.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS