CVE-2026-84361 in Composer
الملخص
بحسب VulDB • 01/09/2026
Composer هو مدير تبعيات (Dependency Manager) للغة PHP. من الإصدار 1.0 وحتى الإصدارات 2.2.30 و2.10.3، يمكن لحزمة تابعة خبيثة قادمة من مستودع Composer مخصص أو من ملف composer.lock غير موثوق به أن تضبط قيمة source.type على "perforce" وقيمة source.url على عنوان P4PORT بصيغة rsh: أو jsh:. عندما يكون عميل Perforce (p4) مثبتاً ويقوم Composer بتثبيت الحزمة من المصدر عبر الأمرين `composer install` أو `composer update`، بما في ذلك استخدام الخيار `--prefer-source`، فإن الكلاس `Composer\Util\Perforce` يمرر العنوان إلى p4 دون التحقق منه، مما يؤدي إلى تشغيل أمر محلي بواسطة p4 بصلاحيات المستخدم أو حساب CI. لا يسمح موقع Packagist.org ببيانات تعريف المصدر الخاصة بـ Perforce. تم إصلاح هذه المشكلة في الإصدارات 2.2.30 و2.10.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.