CVE-2026-40176

Composer, PHP için bir bağımlılık yöneticisidir. 1.0 ile 2.2.26 ve 2.3 ile 2.9.5 arasındaki sürümler, kullanıcı tarafından sağlanan Perforce bağlantı parametrelerini (port, user, client) uygun kaçış karakterleri kullanmadan ekleyerek kabuk komutları oluşturan Perforce::generateP4Command() metodunda bir komut enjeksiyonu zafiyeti içermektedir. Bir saldırgan, Perforce VCS deposunu beyan eden kötü amaçlı bir composer.json dosyası üzerinden bu değerler aracılığıyla rastgele komutlar enjekte edebilir; bu durum, Perforce yüklü olmasa bile Composer'ı çalıştıran kullanıcının bağlamında komut yürütülmesine yol açar. VCS depoları yalnızca kök composer.json dosyasından veya composer yapılandırma dizininden yüklendiğinden, bu durum bağımlılık olarak yüklenen paketlerin composer.json dosyaları üzerinden istismar edilemez. Kullanıcılar, saldırgan tarafından sağlanan composer.json dosyalarına sahip güvenilmeyen projelerde Composer komutlarını çalıştırırlarsa risk altındadırlar. Bu sorun Composer 2.2.27 (2.2 LTS) ve 2.9.6 (mainline) sürümlerinde düzeltilmiştir.