CVE-2026-40176

Composer PHP üçün asılılıq meneceridir. Versiya 1.0-dan 2.2.26-ya qədər və 2.3-dən 2.9.5-ə qədər olan versiyalarda Perforce::generateP4Command() metodunda əmr inyeksiyası zəifliyi mövcuddur; bu metod istifadəçi tərəfindən təmin edilən Perforce bağlantı parametrlərini (port, user, client) lazımi şəkildə filtrləmədən interpolasiya edərək shell əmrləri formalaşdırır. Hücumçu, Perforce VCS repozitoriyasını bəyan edən zərərli composer.json faylında bu dəyərlər vasitəsilə ixtiyari əmrlər inyeksiya edə bilər ki, bu da Perforce quraşdırılmasa belə, Composer-i işlədən istifadəçinin kontekstində əmrin icrasına gətirib çıxarır. VCS repozitoriyaları yalnız kök composer.json faylından və ya composer konfiqurasiya kataloqundan yükləndiyi üçün, bu zəiflik asılılıq kimi quraşdırılan paketlərin composer.json faylları vasitəsilə istismar edilə bilməz. İstifadəçilər hücumçu tərəfindən təmin edilmiş composer.json fayllarının olduğu etibarsız layihələrdə Composer əmrlərini icra etdikdə risk altında olurlar. Bu problem Composer 2.2.27 (2.2 LTS) və 2.9.6 (mainline) versiyalarında düzəldilmişdir.