CVE-2021-29472

Composer PHP üçün asılılıq meneceridir. Kök `composer.json` faylında olan Mercurial repozitoriyaları üçün URL-lər və paket mənbəyinin yükləmə URL-ləri düzgün şəkildə təmizlənmir. Xüsusi hazırlanmış URL dəyərləri, sistemdə hg/Mercurial quraşdırılıbsa, `HgDriver`-da kodun icrasına şərait yaradır. Composer istifadəçilərinə birbaşa təsiri məhduddur, çünki `composer.json` faylı adətən onların öz nəzarətində olur və mənbə yükləmə URL-ləri yalnız onların mənbə kodu yükləmək və icra etmək üçün açıq şəkildə etibar etdikləri üçüncü tərəf Composer repozitoriyaları (məsələn, Composer plaginləri) tərəfindən təmin edilə bilər. Əsas təsir Packagist.org və Private Packagist daxil olmaqla, istifadəçi girişini Composer-ə ötürən xidmətlərə yönəlib. Bu, istifadəçilərə uzaqdan kodun icrasını tetikləməyə imkan verirdi. Zəiflik, ilkin hesabat alındıqdan sonra 12 saat ərzində Packagist.org və Private Packagist-də aradan qaldırılmışdır və loqların nəzərdən keçirilməsinə əsasən, bildiyimiz qədər, heç kim tərəfindən sui-istifadə edilməmişdir. `VcsRepository`/`VcsDriver` və ya onların törəmələrindən istifadə edən digər xidmətlər/alətlər də zəif ola bilər və dərhal `composer/composer` asılılığını yeniləməlidirlər. Versiyalar 1.10.22 və 2.0.13 bu problem üçün yamaları ehtiva edir.