CVE-2026-40176

Resumen

Composer es un gestor de dependencias para PHP. Las versiones 1.0 hasta 2.2.26 y 2.3 hasta 2.9.5 contienen una vulnerabilidad de inyección de comandos en el método Perforce::generateP4Command(), que construye comandos de shell interpolando parámetros de conexión de Perforce proporcionados por el usuario (port, user, client) sin el escape adecuado. Un atacante puede inyectar comandos arbitrarios a través de estos valores en un composer.json malicioso que declare un repositorio VCS de Perforce, lo que lleva a la ejecución de comandos en el contexto del usuario que ejecuta Composer, incluso si Perforce no está instalado. Los repositorios VCS solo se cargan desde el composer.json raíz o el directorio de configuración de Composer, por lo que esto no puede explotarse a través de archivos composer.json de paquetes instalados como dependencias. Los usuarios están en riesgo si ejecutan comandos de Composer en proyectos no confiables con archivos composer.json proporcionados por el atacante. Este problema se ha corregido en Composer 2.2.27 (2.2 LTS) y 2.9.6 (rama principal).

• CVE-2026-40176PoC

  Prueba de concepto diferencial para CVE-2026-40176, que demuestra inyección de comandos del sistema operativo en el controlador Perforce de Composer a través de una URL de repositorio maliciosa, con pruebas A/B automatizadas contra versiones afectadas y corregidas.

• composer-CVE-2026-40261-CVE-2026-40176-PoCPoC