CVE-2026-59944 in Composer
Résumé
par VulDB • 17/09/2026
Composer est un gestionnaire de dépendances pour le langage PHP. De la version 1.0 jusqu'à la 2.2.30, et de la 2.3.0 à la 2.10.3, une dépendance malveillante ou compromise peut contourner l'endurcissement du chemin binaire introduit par le CVE-2026-59946, car Composer ne valide les segments littéraux de répertoire parent que lors de la résolution des dépendances, tandis que les chemins décrits dans les métadonnées des liens symboliques (symlink) et installés échappent à cette validation. Un paquet peut inclure un lien symbolique vers un binaire interne qui résout en dehors de son répertoire d'installation, ou les métadonnées `vendor/composer/installed.json` influencées par l'attaquant peuvent fournir un chemin de binaire s'échappant du contexte lors d'une réinstallation ou d'un régénération des entrées manquantes dans `vendor/bin`. Le chemin issu des métadonnées installées n'est accessible que lorsque le répertoire `vendor` n'a pas été peuplé par la même exécution validée de l'installateur, comme lorsqu'il est restauré depuis un cache non fiable, copié à partir d'une étape antérieure du build, hérité d'une ancienne version de Composer, ou modifiable par une étape de construction moins sûre. Composer peut suivre ce chemin, modifier les permissions de la cible externe pour la rendre lisible et exécutable par tous (world-readable and executable), puis créer un proxy `vendor/bin` exécutable pointant vers ce fichier externe. Ce problème ne lit ni ne transmet directement des données, et ne fournit pas en soi une exécution de code à distance (RCE). Cette vulnérabilité est corrigée dans les versions 2.2.30 et 2.10.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.