CVE-2026-40176

Riepilogo

Composer è un gestore di dipendenze per PHP. Le versioni dalla 1.0 alla 2.2.26 e dalla 2.3 alla 2.9.5 contengono una vulnerabilità di iniezione di comandi nel metodo Perforce::generateP4Command(), che costruisce comandi shell interpolando parametri di connessione Perforce forniti dall'utente (port, user, client) senza un adeguato escaping. Un attaccante può iniettare comandi arbitrari tramite questi valori in un composer.json malevolo che dichiara un repository VCS Perforce, portando all'esecuzione di comandi nel contesto dell'utente che esegue Composer, anche se Perforce non è installato. I repository VCS vengono caricati solo dal composer.json principale o dalla directory di configurazione di Composer, quindi questo non può essere sfruttato tramite file composer.json di pacchetti installati come dipendenze. Gli utenti sono a rischio se eseguono comandi Composer su progetti non attendibili con file composer.json forniti dall'attaccante. Questo problema è stato risolto in Composer 2.2.27 (2.2 LTS) e 2.9.6 (mainline).

• CVE-2026-40176PoC

  Prova di concetto differenziale per CVE-2026-40176, che dimostra l'iniezione di comandi del sistema operativo nel driver Perforce di Composer tramite un URL di repository malintenzionato, con test A/B automatizzati sulle versioni affette e corrette.

• composer-CVE-2026-40261-CVE-2026-40176-PoCPoC