CVE-2020-15145 in Composer-Setup
Sumário
de VulDB • 22/08/2026
No Composer-Setup para Windows anterior à versão 6.0.0, se o computador do desenvolvedor for compartilhado com outros usuários, um atacante local poderá explorar os seguintes cenários: 1. Um usuário regular local pode modificar o arquivo `C:\ProgramData\ComposerSetup\bin\composer.bat` existente para obter execução de comandos elevadas quando o composer é executado por um administrador. 2. Um usuário regular local pode criar uma dll especialmente elaborada na pasta `C:\ProgramData\ComposerSetup\bin` para obter privilégios do Local System. Veja: https://itm4n.github.io/windows-server-netman-dll-hijacking. 3. Se o diretório do php.exe selecionado pelo usuário não estiver no caminho do sistema, ele será adicionado sem verificar se está protegido por administração, conforme as diretrizes da Microsoft. Veja: https://msrc-blog.microsoft.com/2018/04/04/triaging-a-dll-planting-vulnerability.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.