CVE-2026-40176
Composer معرضة لثغرة حقن الأوامر عبر مستودع Perforce خبيث
- تم النشر
- 15/04/2026
- محدث
- 15/07/2026
- تخصيص CNA
- GitHub_M
- الأدلة المرصودة
- 08/08/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:Hمنخفض · الثلاثين يومًا القادمة
- المئوية
- 61.8%
- تاريخ الموديل
- 13/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
Composer هو مدير تبعيات لـ PHP. تحتوي الإصدارات من 1.0 إلى 2.2.26 ومن 2.3 إلى 2.9.5 على ثغرة حقن أوامر في دالة Perforce::generateP4Command()، والتي تنشئ أوامر shell عن طريق إقحام معاملات اتصال Perforce التي يقدمها المستخدم (المنفذ، المستخدم، العميل) دون تهريب مناسب. يمكن للمهاجم حقن أوامر عشوائية عبر هذه القيم في ملف composer.json خبيث يصرّح بمستودع Perforce VCS، مما يؤدي إلى تنفيذ أوامر في سياق المستخدم الذي يشغّل Composer، حتى إذا لم يكن Perforce مثبتًا. يتم تحميل مستودعات VCS فقط من ملف composer.json الجذري أو من دليل إعداد Composer، لذلك لا يمكن استغلال هذه الثغرة عبر ملفات composer.json للحزم المثبتة كتبعيات. المستخدمون معرضون للخطر إذا قاموا بتشغيل أوامر Composer على مشاريع غير موثوقة تحتوي على ملفات composer.json مقدمة من المهاجم. تم إصلاح هذه المشكلة في Composer 2.2.27 (إصدار 2.2 LTS) و2.9.6 (الإصدار الرئيسي).
المصادر
إثبات مفهوم تفاضلي لـ CVE-2026-40176، يوضح حقن أوامر نظام التشغيل في برنامج تشغيل Perforce الخاص بـ Composer عبر عنوان URL ضار لمستودع، مع اختبار A/B آلي ضد الإصدارات المتأثرة والثابتة.
إثبات مفهوم يوضح ثغرات حقن الأوامر في برنامج تشغيل Perforce الخاص بـ Composer، مع متجهين للهجوم واختبار قائم على Docker.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.