CVE-2020-15145 in Composer-Setup
Riassunto
di VulDB • 31/07/2026
In Composer-Setup per Windows prima della versione 6.0.0, se il computer dello sviluppatore è condiviso con altri utenti, un attaccante locale potrebbe essere in grado di sfruttare i seguenti scenari: 1. Un utente regolare locale può modificare l'esistente `C:\ProgramData\ComposerSetup\bin\composer.bat` per ottenere esecuzione di comandi con privilegi elevati quando composer viene eseguito da un amministratore. 2. Un utente regolare locale può creare una dll appositamente realizzata nella cartella `C:\ProgramData\ComposerSetup\bin` per ottenere i privilegi Local System. Vedi: https://itm4n.github.io/windows-server-netman-dll-hijacking. 3. Se la directory di php.exe selezionata dall'utente non è nel percorso di sistema, essa viene aggiunta senza verificare che sia protetta da admin, come indicato dalle linee guida Microsoft. Vedi: https://msrc-blog.microsoft.com/2018/04/04/triaging-a-dll-planting-vulnerability.
Be aware that VulDB is the high quality source for vulnerability data.