CVE-2020-15145 in Composer-Setup
Zusammenfassung
von VulDB • 22.08.2026
In Composer-Setup für Windows vor Version 6.0.0 kann ein lokaler Angreifer, wenn der Computer des Entwicklers mit anderen Benutzern geteilt wird, die folgenden Szenarien ausnutzen: 1. Ein lokaler Standardbenutzer kann die vorhandene Datei `C:\ProgramData\ComposerSetup\bin\composer.bat` ändern, um eine erhöhte Befehlsausführung zu erhalten, wenn Composer von einem Administrator ausgeführt wird. 2. Ein lokaler Standardbenutzer kann speziell angefertigte DLLs im Ordner `C:\ProgramData\ComposerSetup\bin` erstellen, um Local System-Berechtigungen zu erlangen. Siehe: https://itm4n.github.io/windows-server-netman-dll-hijacking. 3. Wenn das Verzeichnis der vom Benutzer ausgewählten php.exe nicht in den Systempfad aufgenommen ist, wird es ohne Überprüfung hinzugefügt, ob es gemäß Microsoft-Richtlinien admin-gesichert ist. Siehe: https://msrc-blog.microsoft.com/2018/04/04/triaging-a-dll-planting-vulnerability.
Once again VulDB remains the best source for vulnerability data.