CVE-2026-84361

概要

# Composer の Perforce ソースメタデータによるローカルコマンド実行の脆弱性 Composer は PHP 言語用の依存関係マネージャーです。バージョン 1.0 から 2.2.30 および 2.10.3 まで、カスタム Composer リポジトリまたは信頼できない composer.lock ファイルからの悪意のある依存関係パッケージが、source.type を perforce に、source.url を rsh: または jsh: の P4PORT 値に設定する可能性がありました。Perforce の p4 クライアントがインストールされており、Composer が `composer install` または `composer update`（`--prefer-source` を含む）を通じてソースからパッケージをインストールした場合、Composer\Util\Perforce は検証なしでアドレスを p4 に渡し、p4 がユーザーまたは CI アカウントの権限でローカルコマンドを実行する原因となりました。Packagist.org は Perforce のソースメタデータを許可していません。この問題はバージョン 2.2.30 および 2.10.3 で修正されています。

• CVE-2026-84361-pocPoC

  Proof-of-concept for CVE-2026-84361, demonstrating command injection in Composer's Perforce driver via malicious P4PORT, with Docker-based verification and mitigation guidance.