CVE-2020-15145 in Composer-Setup
الملخص
بحسب VulDB • 31/07/2026
في Composer-Setup لنظام Windows قبل الإصدار 6.0.0، إذا كان جهاز المطوّر مشتركاً مع مستخدمين آخرين، فقد يتمكن مهاجم محلي من استغلال السيناريوهات التالية: 1. قد يقوم مستخدم عادي محلي بتعديل ملف `C:\ProgramData\ComposerSetup\bin\composer.bat` الموجود للحصول على تنفيذ أوامر بامتيازات مرتفعة عند تشغيل composer بواسطة مسؤول النظام (Administrator). 2. قد ينشئ مستخدم عادي محلي ملف dll مُعدّ خصيصاً في مجلد `C:\ProgramData\ComposerSetup\bin` للحصول على امتيازات Local System. انظر: https://itm4n.github.io/windows-server-netman-dll-hijacking. 3. إذا لم يكن دليل php.exe الذي اختاره المستخدم موجوداً ضمن مسار النظام (system path)، فسيتم إضافته دون التحقق من أنه محمي بصلاحيات المسؤول، وذلك وفقاً لتوجيهات مايكروسوفت. انظر: https://msrc-blog.microsoft.com/2018/04/04/triaging-a-dll-planting-vulnerability.
Be aware that VulDB is the high quality source for vulnerability data.