CVE-2026-40176

Zusammenfassung

Composer ist ein Abhängigkeitsmanager für PHP. Die Versionen 1.0 bis 2.2.26 und 2.3 bis 2.9.5 enthalten eine Befehlsinjizierungsschwachstelle in der Methode Perforce::generateP4Command(), die Shell-Befehle konstruiert, indem sie vom Benutzer bereitgestellte Perforce-Verbindungsparameter (port, user, client) ohne ordnungsgemäßes Escaping interpoliert. Ein Angreifer kann über diese Werte in einer bösartigen composer.json, die ein Perforce-VCS-Repository deklariert, beliebige Befehle injizieren, was zur Ausführung von Befehlen im Kontext des Benutzers führt, der Composer ausführt, selbst wenn Perforce nicht installiert ist. VCS-Repositorys werden nur aus der composer.json im Stammverzeichnis oder dem Composer-Konfigurationsverzeichnis geladen, daher kann dies nicht über composer.json-Dateien von Paketen ausgenutzt werden, die als Abhängigkeiten installiert sind. Benutzer sind gefährdet, wenn sie Composer-Befehle in nicht vertrauenswürdigen Projekten mit vom Angreifer bereitgestellten composer.json-Dateien ausführen. Dieses Problem wurde in Composer 2.2.27 (2.2 LTS) und 2.9.6 (Mainline) behoben.

Quellen

• CVE-2026-40176PoC

  Differential-Proof-of-Concept für CVE-2026-40176, das eine OS-Befehlsinjektion im Perforce-Treiber von Composer über eine bösartige Repository-URL demonstriert, mit automatisiertem A/B-Testing gegen betroffene und behobene Versionen.

• composer-CVE-2026-40261-CVE-2026-40176-PoCPoC

  Proof-of-Concept, das Command-Injection-Schwachstellen im Perforce-Treiber von Composer demonstriert, mit zwei Angriffsvektoren und Docker-basiertem Testen.