CVE-2026-84361
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Composer, menedżer zależności dla PHP, ma podatność w wersjach od 1.0 do 2.2.30 i 2.10.3. Złośliwy pakiet z niestandardowego repozytorium lub niezaufany plik composer.lock może ustawić source.type na perforce i source.url na wartość P4PORT zaczynającą się od rsh: lub jsh:. Gdy klient Perforce p4 jest zainstalowany, a Composer instaluje pakiet ze źródła, p4 wykonuje lokalne polecenie z uprawnieniami użytkownika lub konta CI.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia lokalne na maszynie deweloperskiej lub w środowisku CI, co może prowadzić do przejęcia systemu lub kradzieży danych.
Rekomendacja
Zaktualizuj Composer do wersji 2.2.30 lub 2.10.3 (lub nowszej). Unikaj korzystania z niezaufanych repozytoriów i plików composer.lock.
Inne podatności w Composer
Zobacz wszystkie- CVE-2026-59944Średnie
Composer w wersjach od 1.0 do 2.2.30 oraz od 2.3.0 do 2.10.3 pozwala złośliwej lub przejętej zależności obejść wcześniejsze zabezpieczenie ścieżek binarnych z CVE-2026-59946. Poprzez dowiązanie symboliczne w pakiecie lub metadane installed.json atakujący może wskazać ścieżkę binarną poza katalogiem instalacji, a Composer może zmienić uprawnienia zewnętrznego pliku i utworzyć wykonywalny proxy w vendor/bin.
- CVE-2026-45793Wysokie
Podatność w Composerze, menedżerze zależności dla PHP, pozwala na ujawnienie tokenów OAuth GitHub w logach błędów. Walidacja tokenów za pomocą wyrażenia regularnego odrzuca tokeny GITHUB_TOKEN zawierające znak '-', a ich wartość jest interpolowana do komunikatu wyjątku, co prowadzi do wycieku do stderr lub logów CI.
- CVE-2026-59948Wysokie
Podatność w menedżerze zależności Composer dla języka PHP pozwala atakującemu na zapis plików poza katalogiem vendor i projektem podczas instalacji lub aktualizacji pakietów. Problem występuje, gdy pakiet z niezaufanego repozytorium (innego niż Packagist.org lub Private Packagist) zawiera nieprawidłową nazwę, która nie jest poprawnie walidowana przed zapisem wyników rozwiązywania zależności.
- CVE-2026-59947Średnie
Composer, menedżer zależności dla PHP, w wersjach przed 2.2.29 i 2.10.2 wyciekał dane uwierzytelniające (np. tokeny GitHub) do wyjścia debugowania przy użyciu flagi -vvv. Problem wynikał z braku sanitizacji poświadczeń w nazwie użytkownika w URL-u repozytorium lub pakietu.
- CVE-2026-59946Średnie
Podatność w menedżerze zależności Composer dla języka PHP pozwala na zmianę uprawnień istniejącego pliku na odczytywalny i wykonywalny dla wszystkich użytkowników. Problem występuje podczas instalacji, aktualizacji lub dodawania pakietów, gdy wpis bin w pakiecie zawiera segmenty ścieżki '..'.
- CVE-2026-40261Wysokie
Composer w wersjach 1.0 do 2.2.26 i 2.3 do 2.9.5 zawiera podatność na wstrzykiwanie poleceń w metodach Perforce::syncCodeBase() i Perforce::generateP4Command(). Atakujący może wstrzyknąć dowolne polecenia poprzez spreparowane wartości źródłowe (source reference lub source url) zawierające metaznaki powłoki, nawet jeśli Perforce nie jest zainstalowane.
- CVE-2026-40176Wysokie
Podatność na wstrzykiwanie poleceń w metodzie Perforce::generateP4Command() w Composerze, menedżerze zależności dla PHP. Atakujący może wstrzyknąć dowolne polecenia poprzez parametry połączenia Perforce (port, użytkownik, klient) w złośliwym pliku composer.json, co prowadzi do wykonania poleceń w kontekście użytkownika uruchamiającego Composera.
Oryginalny opis (angielski, źródło NVD)
Composer is a dependency Manager for the PHP language. From 1.0 until 2.2.30 and 2.10.3, a malicious dependency package from a custom Composer repository or an untrusted composer.lock file could set source.type to perforce and source.url to an rsh: or jsh: P4PORT value. When the Perforce p4 client was installed and Composer installed the package from source through composer install or composer update, including --prefer-source, Composer\Util\Perforce passed the address to p4 without validation, causing p4 to run a local command with the privileges of the user or CI account. Packagist.org does not permit Perforce source metadata. This issue is fixed in versions 2.2.30 and 2.10.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS