CVE-2026-40261

Riepilogo

# Composer Composer è un gestore di dipendenze per PHP. Le versioni dalla 1.0 alla 2.2.26 e dalla 2.3 alla 2.9.5 contengono una vulnerabilità di injection di comandi nel metodo `Perforce::syncCodeBase()`, che aggiunge il parametro `$sourceReference` a un comando shell senza un corretto escaping, e inoltre nel metodo `Perforce::generateP4Command()` come in GHSA-wg36-wvj6-r67p / CVE-2026-40176, che interpola i parametri di connessione Perforce forniti dall'utente (porta, utente, client) dal campo url della sorgente senza un corretto escaping. Un attaccante può iniettare comandi arbitrari tramite valori di source reference o url della sorgente appositamente costruiti contenenti metacaratteri di shell, anche se Perforce non è installato. A differenza di CVE-2026-40176, la source reference e l'url sono forniti come parte dei metadati del pacchetto, il che significa che qualsiasi repository Composer compromesso o dannoso può servire metadati di pacchetti che dichiarano perforce come tipo di sorgente con valori dannosi. Questa vulnerabilità è sfruttabile durante l'installazione o l'aggiornamento delle dipendenze dalla sorgente, incluso il comportamento predefinito durante l'installazione di versioni con prefisso dev. Il problema è stato risolto in Composer 2.2.27 (2.2 LTS) e 2.9.6 (mainline). Se gli sviluppatori non possono aggiornare immediatamente, possono evitare di installare le dipendenze dalla sorgente utilizzando `--prefer-dist` o l'impostazione di configurazione `preferred-install: dist`, e utilizzare solo repository Composer attendibili come soluzione alternativa.

• composer-CVE-2026-40261-CVE-2026-40176-PoCPoC

  Prova di concetto che dimostra le vulnerabilità di iniezione di comandi nel driver Perforce di Composer, con due vettori di attacco e test basati su Docker.