CVE-2026-40176 in Composer
Tóm tắt
Bởi VulDB • 29/05/2026
Composer là một trình quản lý phụ thuộc cho PHP. Các phiên bản từ 1.0 đến 2.2.26 và từ 2.3 đến 2.9.5 chứa một lỗ hổng tiêm lệnh (command injection) trong phương thức Perforce::generateP4Command(), phương thức này xây dựng các lệnh shell bằng cách nội suy các tham số kết nối Perforce do người dùng cung cấp (cổng, người dùng, máy khách) mà không thực hiện thoát ký tự (escaping) thích hợp. Một kẻ tấn công có thể tiêm các lệnh tùy ý thông qua các giá trị này trong một tệp composer.json độc hại khai báo kho lưu trữ VCS Perforce, dẫn đến việc thực thi lệnh trong ngữ cảnh của người dùng đang chạy Composer, ngay cả khi Perforce chưa được cài đặt. Các kho lưu trữ VCS chỉ được tải từ tệp composer.json gốc hoặc từ thư mục cấu hình composer, do đó lỗ hổng này không thể bị khai thác thông qua các tệp composer.json của các gói được cài đặt dưới dạng phụ thuộc. Người dùng có nguy cơ nếu họ chạy các lệnh Composer trên các dự án không đáng tin cậy có chứa các tệp composer.json do kẻ tấn công cung cấp. Vấn đề này đã được sửa chữa trong Composer 2.2.27 (2.2 LTS) và 2.9.6 (mainline).
If you want to get best quality of vulnerability data, you may have to visit VulDB.