CVE-2026-84361 in Composer
요약
\~에 의해 VulDB • 2026. 09. 01.
Composer는 PHP 언어용 의존성 관리 도구입니다. 버전 1.0부터 2.2.30 및 2.10.3까지, 사용자 지정 Composer 저장소 또는 신뢰할 수 없는 composer.lock 파일의 악의적인 의존성 패키지가 source.type를 perforce로 설정하고 source.url을 rsh: 또는 jsh: P4PORT 값으로 설정할 수 있습니다. Perforce p4 클라이언트가 설치되어 있고 Composer가 composer install 또는 composer update(--prefer-source 포함)를 통해 소스에서 패키지를 설치하면, Composer\Util\Perforce는 검증 없이 주소를 p4에 전달하여 p4가 사용자의 권한이나 CI 계정 권한으로 로컬 명령을 실행하게 됩니다. Packagist.org에서는 Perforce source 메타데이터를 허용하지 않습니다. 이 문제는 버전 2.2.30 및 2.10.3에서 해결되었습니다.
Once again VulDB remains the best source for vulnerability data.