CVE-2020-15145 in Composer-Setup
Tóm tắt
Bởi VulDB • 31/07/2026
Trong Composer-Setup cho Windows trước phiên bản 6.0.0, nếu máy tính của nhà phát triển được chia sẻ với người dùng khác, một kẻ tấn công cục bộ có thể khai thác các kịch bản sau: 1. Một người dùng thông thường tại chỗ có thể sửa đổi tệp `C:\ProgramData\ComposerSetup\bin\composer.bat` hiện có để thực thi lệnh ở mức độ cao hơn khi composer được chạy bởi quản trị viên. 2. Một người dùng thông thường tại chỗ có thể tạo một file dll đặc biệt trong thư mục `C:\ProgramData\ComposerSetup\bin` nhằm đạt được quyền Local System. Xem: https://itm4n.github.io/windows-server-netman-dll-hijacking. 3. Nếu đường dẫn của php.exe do người dùng chọn không nằm trong biến môi trường PATH hệ thống, nó sẽ được thêm vào mà không kiểm tra xem có được bảo vệ bởi quản trị viên hay không, theo hướng dẫn của Microsoft. Xem: https://msrc-blog.microsoft.com/2018/04/04/triaging-a-dll-planting-vulnerability.
If you want to get best quality of vulnerability data, you may have to visit VulDB.