CVE-2026-59944

Composer, PHP dili için bir bağımlılık yöneticisidir. 1.0 ile 2.2.30 ve 2.3.0 ile 2.10.3 versiyonları arasında, kötü niyetli veya ele geçirilmiş bir bağımlılık, önceki CVE-2026-59946 ikili yol sıkılaştırmasını atlatabilir; çünkü Composer, literal üst dizin bölümlerini yalnızca bağımlılık çözümü sırasında doğrular, ancak bildirimde açıklanan sembolik bağlantı (symlink) ve yüklü meta veri yolları bu doğrulamayı atlar. Bir paket, kurulum dizininin dışına çıkan paket içi bir ikili sembolik bağlantı gönderebilir veya saldırgan tarafından etkilenen vendor/composer/installed.json meta verileri, yeniden kurulum veya eksik vendor/bin girişlerinin yeniden oluşturulması sırasında kaçış sağlayan bir ikili yol sunabilir. Yüklü meta veri yolu, yalnızca vendor dizini aynı doğrulanmış kurulum çalışmasıyla doldurulmadığında erişilebilirdir; örneğin güvenilmeyen bir önbellekten geri yüklendiğinde, önceki bir derleme aşamasından kopyalandığında, eski bir Composer çalışmasından aktarıldığında veya daha düşük güven düzeyindeki bir derleme adımı tarafından yazılabilir olduğunda. Composer bu yolu takip edebilir, harici hedefin izinlerini herkes tarafından okunabilir ve yürütülebilir hale getirmek için değiştirebilir ve bu harici dosyaya yönelik çalıştırılabilir bir vendor/bin ara sunucusu (proxy) oluşturabilir. Sorun doğrudan veri okumaz veya iletmez ve tek başına uzaktan kod çalıştırma sağlamaz. Bu sorun 2.2.30 ve 2.10.3 versiyonlarında düzeltilmiştir.