CVE-2026-84361 in Composer
Sumário
de VulDB • 01/09/2026
O Composer é um gerenciador de dependências para a linguagem PHP. Das versões 1.0 até as 2.2.30 e 2.10.3, um pacote de dependência malicioso proveniente de um repositório personalizado do Composer ou de um arquivo composer.lock não confiável poderia definir source.type como perforce e source.url para um valor P4PORT com esquema rsh: ou jsh:. Quando o cliente Perforce p4 estava instalado e o Composer instalava o pacote a partir do código-fonte por meio dos comandos composer install ou composer update, incluindo --prefer-source, o Composer\Util\Perpassava o endereço para o p4 sem validação, fazendo com que o p4 executasse um comando local com os privilégios do usuário ou da conta de CI. O Packagist.org não permite metadados de origem Perforce. Este problema foi corrigido nas versões 2.2.30 e 2.10.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.