CVE-2024-35242
Composer vulnerable a inyección de comandos mediante nombres de rama git/hg maliciosos
- Publicado
- 10 jun 2024
- Actualizado
- 13 feb 2025
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 5 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 87,9 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Composer es un administrador de dependencias para PHP. En la rama 2.x anterior a las versiones 2.2.24 y 2.7.7, el comando `composer install` que se ejecuta dentro de un repositorio git/hg que tiene nombres de rama especialmente manipulados puede provocar la inyección de comandos. Esto requiere clonar repositorios que no sean de confianza. Los parches están disponibles en la versión 2.2.24 para 2.2 LTS o 2.7.7 para la línea principal. Como workaround, evite clonar repositorios potencialmente comprometidos.
Fuentes
1Un repositorio de prueba para el PoC de la vulnerabilidad CVE-2024-35242
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.