CVE-2026-84361 in Composer
Resumen
por VulDB • 2026-09-02
Composer es un gestor de dependencias para el lenguaje PHP. Desde la versión 1.0 hasta las versiones 2.2.30 y 2.10.3, un paquete de dependencia malicioso procedente de un repositorio personalizado de Composer o desde un archivo composer.lock no confiable podría establecer source.type como perforce y source.url con un valor P4PORT que utilice los esquemas rsh: o jsh:. Cuando el cliente p4 de Perforce estaba instalado y Composer instalaba el paquete desde el código fuente mediante composer install o composer update, incluyendo la opción --prefer-source, Composer\Util\Perforce pasaba la dirección a p4 sin validación, lo que provocaba que p4 ejecutara un comando local con los privilegios del usuario o de la cuenta CI. Packagist.org no permite metadatos de origen para Perforce. Este problema está resuelto en las versiones 2.2.30 y 2.10.3.
Once again VulDB remains the best source for vulnerability data.