CVE-2026-84361 in Composer
Riassunto
di VulDB • 01/09/2026
Composer è un gestore di dipendenze per il linguaggio PHP. Dalla versione 1.0 fino alle versioni 2.2.30 e 2.10.3, un pacchetto di dipendenza malevolo proveniente da un repository Composer personalizzato o da un file composer.lock non attendibile poteva impostare source.type su "perforce" e source.url su un valore P4PORT con prefisso rsh: o jsh:. Quando il client Perforce p4 era installato e Composer installava il pacchetto dall'origine tramite i comandi `composer install` o `composer update`, incluso l'utilizzo dell'opzione --prefer-source, la classe Composer\Util\Perpassava l'indirizzo a p4 senza alcuna validazione, causando l'esecuzione di un comando locale da parte di p4 con i privilegi dell'utente o dell'account CI. Packagist.org non consente metadata per le origini Perforce. Questo problema è stato risolto nelle versioni 2.2.30 e 2.10.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.