CVE-2026-84361 in Composer
要約
〜によって VulDB • 2026年09月01日
ComposerはPHP言語用の依存関係マネージャーです。バージョン1.0から2.2.30および2.10.3まで、カスタムComposerリポジトリからの悪意のある依存パッケージや信頼できないcomposer.lockファイルによって、source.typeがperforceに、source.urlがrsh:またはjsh:P4PORT値に設定される可能性があります。Perforceのp4クライアントがインストールされ、Composerが`composer install`または`composer update`（--prefer-sourceを含む）を通じてソースからパッケージをインストールすると、Composer\Util\Perforceは検証を行わずにアドレスをp4に渡すため、p4はユーザー権限またはCIアカウントの権限でローカルコマンドを実行します。Packagist.orgではPerforceのソースメタデータが許可されていません。この問題はバージョン2.2.30および2.10.3で修正されています。
Once again VulDB remains the best source for vulnerability data.