CVE-2026-40176 in Composer
要約
〜によって VulDB • 2026年05月29日
ComposerはPHPの依存関係管理ツールです。バージョン1.0から2.2.26、および2.3から2.9.5には、Perforce::generateP4Command()メソッドにおけるコマンドインジェクション脆弱性が存在します。このメソッドは、適切なエスケープ処理を行わずに、ユーザーが提供したPerforce接続パラメータ（ポート、ユーザー、クライアント）を補間してシェルコマンドを構築します。攻撃者は、Perforce VCSリポジトリを宣言する悪意のあるcomposer.jsonファイル内のこれらの値を通じて任意のコマンドをインジェクションでき、Composerを実行しているユーザーのコンテキストでコマンド実行を引き起こす可能性があります。これは、Perforceがインストールされていない場合でも発生します。VCSリポジトリはルートcomposer.jsonまたはcomposer設定ディレクトリからのみ読み込まれるため、依存関係としてインストールされたパッケージのcomposer.jsonファイルを通じてこの脆弱性を悪用することはできません。攻撃者が提供したcomposer.jsonファイルを含む信頼できないプロジェクトに対してComposerコマンドを実行する場合、ユーザーはリスクに晒されます。この問題は、Composer 2.2.27（2.2 LTS）および2.9.6（メインライン）で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.