CVE-2026-59947

Orta

Açıklama

Composer, PHP dili için bir bağımlılık yöneticisidir. 2.2.29 ve 2.10.2 sürümlerinden önce, Composer -vvv hata ayıklama ayrıntı düzeyiyle çalıştırıldığında; AuthHelper, Url::sanitize ve ProcessExecutor'ın yalnızca kullanıcı adı içeren URL kimlik bilgilerini temizlememesi nedeniyle, bir depo veya paket URL'sinin kullanıcı adı kısmına gömülmüş olan kimlik bilgilerini (örneğin https://TOKEN@host/ adresindeki bir GitHub Kişisel Erişim Belirteci) hata ayıklama çıktısına yazdırabiliyordu. Bu sorun 2.2.29 ve 2.10.2 sürümlerinde giderilmiştir.

ÖnemOrta

CVSS4.7

İstismar olasılığı—

ÜrünComposer/composer

Yayın8 Tem 2026

İlk görülme8 Tem 2026

Zayıflık türüCWE-532CWE-532

Nasıl düzeltilir

Güncelleyin

composer/composer2.10.2, 2.2.29 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
composer/composerPackagist	2.3.0 ≤ v < 2.10.2, 1.0.0 ≤ v < 2.2.29	2.10.2, 2.2.29

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.