CVE-2026-59948
WysokieCVSS 7.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Podatność w menedżerze zależności Composer dla języka PHP pozwala atakującemu na zapis plików poza katalogiem vendor i projektem podczas instalacji lub aktualizacji pakietów. Problem występuje, gdy pakiet z niezaufanego repozytorium (innego niż Packagist.org lub Private Packagist) zawiera nieprawidłową nazwę, która nie jest poprawnie walidowana przed zapisem wyników rozwiązywania zależności.
Ocena ryzyka
Atakujący może nadpisać krytyczne pliki systemowe lub projektu, co może prowadzić do zdalnego wykonania kodu, eskalacji uprawnień lub trwałego uszkodzenia środowiska.
Rekomendacja
Należy natychmiast zaktualizować Composer do wersji 2.2.29 lub 2.10.2 (w zależności od używanej gałęzi) oraz unikać korzystania z niezaufanych repozytoriów pakietów.
Inne podatności w Composer
Zobacz wszystkie- CVE-2026-45793Wysokie
Podatność w Composerze, menedżerze zależności dla PHP, pozwala na ujawnienie tokenów OAuth GitHub w logach błędów. Walidacja tokenów za pomocą wyrażenia regularnego odrzuca tokeny GITHUB_TOKEN zawierające znak '-', a ich wartość jest interpolowana do komunikatu wyjątku, co prowadzi do wycieku do stderr lub logów CI.
- CVE-2026-59947Średnie
Composer, menedżer zależności dla PHP, w wersjach przed 2.2.29 i 2.10.2 wyciekał dane uwierzytelniające (np. tokeny GitHub) do wyjścia debugowania przy użyciu flagi -vvv. Problem wynikał z braku sanitizacji poświadczeń w nazwie użytkownika w URL-u repozytorium lub pakietu.
- CVE-2026-59946Średnie
Podatność w menedżerze zależności Composer dla języka PHP pozwala na zmianę uprawnień istniejącego pliku na odczytywalny i wykonywalny dla wszystkich użytkowników. Problem występuje podczas instalacji, aktualizacji lub dodawania pakietów, gdy wpis bin w pakiecie zawiera segmenty ścieżki '..'.
- CVE-2026-40261Wysokie
Composer w wersjach 1.0 do 2.2.26 i 2.3 do 2.9.5 zawiera podatność na wstrzykiwanie poleceń w metodach Perforce::syncCodeBase() i Perforce::generateP4Command(). Atakujący może wstrzyknąć dowolne polecenia poprzez spreparowane wartości źródłowe (source reference lub source url) zawierające metaznaki powłoki, nawet jeśli Perforce nie jest zainstalowane.
- CVE-2026-40176Wysokie
Podatność na wstrzykiwanie poleceń w metodzie Perforce::generateP4Command() w Composerze, menedżerze zależności dla PHP. Atakujący może wstrzyknąć dowolne polecenia poprzez parametry połączenia Perforce (port, użytkownik, klient) w złośliwym pliku composer.json, co prowadzi do wykonania poleceń w kontekście użytkownika uruchamiającego Composera.
Oryginalny opis (angielski, źródło NVD)
Composer is a dependency Manager for the PHP language. Prior to 2.2.29 and 2.10.2, a maliciously crafted package from an untrusted repository other than Packagist.org or Private Packagist can cause Composer to write attacker-controlled files outside the vendor directory and outside the project during install or update by using an invalid package name that is not correctly validated before dependency-resolution results are written or installed. This issue is fixed in versions 2.2.29 and 2.10.2.