CVE-2026-59946
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Podatność w menedżerze zależności Composer dla języka PHP pozwala na zmianę uprawnień istniejącego pliku na odczytywalny i wykonywalny dla wszystkich użytkowników. Problem występuje podczas instalacji, aktualizacji lub dodawania pakietów, gdy wpis bin w pakiecie zawiera segmenty ścieżki '..'.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zmiany uprawnień krytycznych plików systemowych, co może prowadzić do eskalacji uprawnień lub naruszenia poufności danych.
Rekomendacja
Należy natychmiast zaktualizować Composer do wersji 2.2.29 lub 2.10.2, w zależności od używanej gałęzi.
Inne podatności w Composer
Zobacz wszystkie- CVE-2026-45793Wysokie
Podatność w Composerze, menedżerze zależności dla PHP, pozwala na ujawnienie tokenów OAuth GitHub w logach błędów. Walidacja tokenów za pomocą wyrażenia regularnego odrzuca tokeny GITHUB_TOKEN zawierające znak '-', a ich wartość jest interpolowana do komunikatu wyjątku, co prowadzi do wycieku do stderr lub logów CI.
- CVE-2026-59948Wysokie
Podatność w menedżerze zależności Composer dla języka PHP pozwala atakującemu na zapis plików poza katalogiem vendor i projektem podczas instalacji lub aktualizacji pakietów. Problem występuje, gdy pakiet z niezaufanego repozytorium (innego niż Packagist.org lub Private Packagist) zawiera nieprawidłową nazwę, która nie jest poprawnie walidowana przed zapisem wyników rozwiązywania zależności.
- CVE-2026-59947Średnie
Composer, menedżer zależności dla PHP, w wersjach przed 2.2.29 i 2.10.2 wyciekał dane uwierzytelniające (np. tokeny GitHub) do wyjścia debugowania przy użyciu flagi -vvv. Problem wynikał z braku sanitizacji poświadczeń w nazwie użytkownika w URL-u repozytorium lub pakietu.
- CVE-2026-40261Wysokie
Composer w wersjach 1.0 do 2.2.26 i 2.3 do 2.9.5 zawiera podatność na wstrzykiwanie poleceń w metodach Perforce::syncCodeBase() i Perforce::generateP4Command(). Atakujący może wstrzyknąć dowolne polecenia poprzez spreparowane wartości źródłowe (source reference lub source url) zawierające metaznaki powłoki, nawet jeśli Perforce nie jest zainstalowane.
- CVE-2026-40176Wysokie
Podatność na wstrzykiwanie poleceń w metodzie Perforce::generateP4Command() w Composerze, menedżerze zależności dla PHP. Atakujący może wstrzyknąć dowolne polecenia poprzez parametry połączenia Perforce (port, użytkownik, klient) w złośliwym pliku composer.json, co prowadzi do wykonania poleceń w kontekście użytkownika uruchamiającego Composera.
Oryginalny opis (angielski, źródło NVD)
Composer is a dependency Manager for the PHP language. Prior to 2.2.29 and 2.10.2, a Composer package bin entry containing .. path segments can resolve outside the package install directory and cause Composer's binary installation flow to chmod an existing host file to a world-readable and world-executable mode during composer install, update, or require. This issue is fixed in versions 2.2.29 and 2.10.2.