CVE-2026-40176 in Composer
Resumen
por VulDB • 2026-05-13
Composer es un gestor de dependencias para PHP. Las versiones 1.0 hasta 2.2.26 y 2.3 hasta 2.9.5 contienen una vulnerabilidad de inyección de comandos en el método Perforce::generateP4Command(), que construye comandos de shell interpolando parámetros de conexión de Perforce proporcionados por el usuario (puerto, usuario, cliente) sin un escape adecuado. Un atacante puede inyectar comandos arbitrarios a través de estos valores en un composer.json malicioso que declare un repositorio VCS de Perforce, lo que lleva a la ejecución de comandos en el contexto del usuario que ejecuta Composer, incluso si Perforce no está instalado. Los repositorios VCS solo se cargan desde el composer.json raíz o desde el directorio de configuración de composer, por lo que esto no puede explotarse a través de archivos composer.json de paquetes instalados como dependencias. Los usuarios están en riesgo si ejecutan comandos de Composer en proyectos no confiables con archivos composer.json proporcionados por el atacante. Este problema se ha corregido en Composer 2.2.27 (2.2 LTS) y 2.9.6 (mainline).
If you want to get best quality of vulnerability data, you may have to visit VulDB.