Composer · Composer · CVE-2024-35241
**Nome do software vulnerável e versões afetadas**
Versões do Composer anteriores à 2.2.24 e à 2.7.7
**Descrição**
O problema está relacionado à neutralização incorreta de elementos especiais na função `getUnpushedChanges()` do gerenciador de dependências Composer para PHP. Isso pode permitir que um invasor remoto execute comandos arbitrários usando os comandos `status`, `reinstall` e `remove` com pacotes instalados a partir do código-fonte via git que contenham nomes de ramificações especialmente criados no repositório.
**Recomendações**
Para versões anteriores à 2.2.24, atualize para a versão 2.2.24 do ramo 2.2 LTS.
Para versões anteriores à 2.7.7, atualize para a versão 2.7.7 do ramo principal.
Como solução temporária, evite instalar dependências via git usando `--prefer-dist` ou a configuração `preferred-install: dist`.