PT-2026-32621 · Composer · Composer
CVSS v3.1
7.8
Alta
| Vetor | AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
Name of the Vulnerable Software and Affected Versions
Composer versões 1.0 a 2.2.26
Composer versões 2.3 a 2.9.5
Description
Um problema de injeção de comando existe no driver VCS Perforce do Composer, um gerenciador de dependências para PHP. A função
Perforce::generateP4Command() constrói comandos de shell interpolando parâmetros de conexão Perforce fornecidos pelo usuário sem a devida neutralização. Um invasor pode injetar comandos arbitrários através das variáveis port, user ou client dentro de um arquivo 'composer.json' malicioso que declare um repositório VCS Perforce. Isso permite a execução de comandos arbitrários no contexto do usuário que executa o Composer, independentemente de o Perforce estar instalado no sistema. Este problema pode ser acionado ao executar comandos do Composer em projetos não confiáveis. Repositórios VCS são carregados apenas do 'composer.json' raiz ou do diretório de configuração do composer, o que significa que não pode ser explorado via pacotes de dependência.Recommendations
Atualize para a versão 2.2.27 para as versões 1.0 a 2.2.26.
Atualize para a versão 2.9.6 para as versões 2.3 a 2.9.5.
Execute comandos do Composer apenas em projetos de fontes confiáveis.
Inspecione cuidadosamente os arquivos 'composer.json' para verificar se os campos relacionados ao Perforce contêm valores válidos antes da execução.
Exploit
Correção
RCE
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Composer