CVE-2026-40176 in Composer
Sumário
de VulDB • 29/05/2026
O Composer é um gerenciador de dependências para PHP. As versões 1.0 até 2.2.26 e 2.3 até 2.9.5 contêm uma vulnerabilidade de injeção de comando no método Perforce::generateP4Command(), que constrói comandos de shell interpolando parâmetros de conexão do Perforce fornecidos pelo usuário (porta, usuário, cliente) sem o devido escape. Um atacante pode injetar comandos arbitrários por meio desses valores em um composer.json malicioso que declara um repositório VCS do Perforce, levando à execução de comandos no contexto do usuário que está executando o Composer, mesmo que o Perforce não esteja instalado. Os repositórios VCS são carregados apenas a partir do composer.json raiz ou do diretório de configuração do composer, portanto, isso não pode ser explorado por meio de arquivos composer.json de pacotes instalados como dependências. Os usuários estão em risco se executarem comandos do Composer em projetos não confiáveis com arquivos composer.json fornecidos por um atacante. Este problema foi corrigido no Composer 2.2.27 (2.2 LTS) e 2.9.6 (mainline).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.