PT-2024-4386 · Composer+5 · Composer+5
Martinhaunschmid
+1
·
Publicado
2024-06-10
·
Atualizado
2025-06-30
·
CVE-2024-35241
CVSS v2.0
10
Alta
| Vetor | AV:N/AC:L/Au:N/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
Versões do Composer anteriores à 2.2.24 e à 2.7.7
Descrição
O problema está relacionado à neutralização incorreta de elementos especiais na função
getUnpushedChanges() do gerenciador de dependências Composer para PHP. Isso pode permitir que um invasor remoto execute comandos arbitrários usando os comandos status, reinstall e remove com pacotes instalados a partir do código-fonte via git que contenham nomes de ramificações especialmente criados no repositório.Recomendações
Para versões anteriores à 2.2.24, atualize para a versão 2.2.24 do ramo 2.2 LTS.
Para versões anteriores à 2.7.7, atualize para a versão 2.7.7 do ramo principal.
Como solução temporária, evite instalar dependências via git usando
--prefer-dist ou a configuração preferred-install: dist.Exploit
Correção
Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Astra Linux
Composer
Linuxmint
Red Os
Suse
Ubuntu