[!CAUTION] このリポジトリには、Composer の脆弱性 CVE-2026-40261 および CVE-2026-40176 に関する概念実証コードが含まれています。

[!CAUTION] このコードは教育およびテスト目的のみを意図しています。

[!CAUTION] 本番環境や、適切な許可なくシステムに対してこのコードを使用しないでください。

[!CAUTION] セキュリティ脆弱性をテストする前に、必ず許可を得てください。

概要

このリポジトリは、Perforce VCS ドライバーを介したコマンドインジェクションに関連する Composer の 2 つの脆弱性を実証します。

攻撃ベクトルは 3 つあります:

1. ベクトル 1 — 'url' を介して注入（-p になります）。旧コードでは、Perforce ドライバーのコマンド文字列を構築する際に URL 値をサニタイズしていませんでした。
2. ベクトル 2 — 'p4user' を介して注入（-u になります）。旧コードでは、ユーザー値をコマンド文字列に直接追加していました。

PoC の詳細

composer.json.vector1 および composer.json.vector2 ファイルには、2 つのベクトルそれぞれのペイロードが含まれています。各ペイロードは、/tmp ディレクトリにファイルを作成するコマンドを実行するように設計されており、コマンドインジェクションの成功を実証します。

使用方法

脆弱性をテストするには、以下の手順を使用できます。Composer コンテナを実行するには、システムに Docker がインストールされていることを確認してください。

1. 対応する ファイルを使用して、テストするベクトルを指定します。