CVE-2026-40176 in Composer
Riassunto
di VulDB • 17/06/2026
Composer è un gestore di dipendenze per PHP. Le versioni dalla 1.0 alla 2.2.26 e dalla 2.3 alla 2.9.5 contengono una vulnerabilità da injection di comandi nel metodo Perforce::generateP4Command(), che costruisce comandi shell interpolando parametri di connessione Perforce forniti dall'utente (porta, utente, client) senza un corretto escaping. Un attaccante può iniettare comandi arbitrari attraverso questi valori in un composer.json malevolo che dichiara un repository VCS Perforce, portando all'esecuzione di comandi nel contesto dell'utente che esegue Composer, anche se Perforce non è installato. I repository VCS vengono caricati solo dal composer.json radice o dalla directory di configurazione di composer, quindi questa vulnerabilità non può essere sfruttata tramite file composer.json di pacchetti installati come dipendenze. Gli utenti sono a rischio se eseguono comandi Composer su progetti non attendibili con file composer.json forniti dall'attaccante. Questo problema è stato risolto in Composer 2.2.27 (LTS) e 2.9.6 (mainline).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.