CVE-2026-40261

Composer, PHP için bir bağımlılık yöneticisidir. 1.0 ile 2.2.26 ve 2.3 ile 2.9.5 arasındaki sürümler, $sourceReference parametresini uygun kaçış işlemleri yapmadan bir kabuk komutuna ekleyen Perforce::syncCodeBase() metodunda ve ayrıca GHSA-wg36-wvj6-r67p / CVE-2026-40176'da olduğu gibi, kaynak URL alanından gelen kullanıcı tarafından sağlanan Perforce bağlantı parametrelerini (port, user, client) uygun kaçış işlemleri olmadan yerleştiren Perforce::generateP4Command() metodunda bir komut enjeksiyonu zafiyeti içermektedir. Bir saldırgan, Perforce yüklü olmasa bile, kabuk meta karakterleri içeren hazırlanmış kaynak referansı veya kaynak URL değerleri aracılığıyla rastgele komutlar enjekte edebilir. CVE-2026-40176'dan farklı olarak, kaynak referansı ve URL paket meta verilerinin bir parçası olarak sağlanır; bu daleyle, ele geçirilmiş veya kötü niyetli herhangi bir Composer deposu, perforce'u kötü niyetli değerlerle bir kaynak türü olarak beyan eden paket meta verileri sunabilir. Bu zafiyet, dev ön ekiyle başlayan sürümlerin yüklenmesi sırasındaki varsayılan davranış da dahil olmak üzere, bağımlılıklar kaynaktan yüklenirken veya güncellenirken istismar edilebilir. Bu sorun Composer 2.2.27 (2.2 LTS) ve 2.9.6 (mainline) sürümlerinde düzeltilmiştir. Geliştiriciler hemen güncelleme yapamıyorlarsa, geçici bir çözüm olarak --prefer-dist veya preferred-install: dist yapılandırma ayarını kullanarak bağımlılıkların kaynaktan yüklenmesini önleyebilir ve yalnızca güvenilir Composer depolarını kullanabilirler.