CVE-2026-67434

PHP_CodeSniffer, PHP dosyalarını tokenize eder ve tanımlanmış bir kodlama standartları kümesine yönelik ihlalleri tespit eder. 3.13.6 ve 4.0.2 sürümlerinden önce, PHP_CodeSniffer Gitblame, Hgblame ve Svnblame rapor formatlarını oluşturan kodda bir komut enjeksiyonu güvenlik açığı içerir. Sonuç olarak, PHP_CodeSniffer'ın güvenilmeyen dosyalar üzerinde çalıştırılması, örneğin çekme isteklerini tarayan bir sürekli entegrasyon iş akışında veya üçüncü taraf kodunu inceleyen bir geliştirici makinesinde, Gitblame, Hgblame veya Svnblame raporu adı kabuk meta karakterleri içeren bir dosyayı işlediğinde saldırgan tarafından kontrol edilen kabuk komutlarının yürütülmesine yol açabilir. Varsayılan Full raporunu veya diğer blame dışı raporlardan herhangi birini kullanan kullanıcılar etkilenmez. Dosya adlarının " ve ; gibi kabuk meta karakterleri içermesine izin vermeyen bir çalışma zamanı platformundaki kullanıcılar etkilenmez. Bu sorun 3.13.6 ve 4.0.2 sürümlerinde düzeltilmiştir.