CVE-2026-40261

Resumo

# Composer O Composer é um gerenciador de dependências para PHP. As versões 1.0 até 2.2.26 e 2.3 até 2.9.5 contêm uma vulnerabilidade de injeção de comandos no método `Perforce::syncCodeBase()`, que anexa o parâmetro `$sourceReference` a um comando shell sem o escape adequado, e também no método `Perforce::generateP4Command()`, conforme descrito em GHSA-wg36-wvj6-r67p / CVE-2026-40176, que interpola parâmetros de conexão Perforce fornecidos pelo usuário (porta, usuário, cliente) a partir do campo de URL de origem sem o escape adequado. Um atacante pode injetar comandos arbitrários por meio de valores de referência de origem ou URL de origem manipulados contendo metacaracteres de shell, mesmo que o Perforce não esteja instalado. Diferentemente do CVE-2026-40176, a referência de origem e a URL são fornecidas como parte dos metadados do pacote, o que significa que qualquer repositório Composer comprometido ou malicioso pode servir metadados de pacotes declarando o perforce como tipo de origem com valores maliciosos. Esta vulnerabilidade é explorável ao instalar ou atualizar dependências a partir da origem, incluindo o comportamento padrão ao instalar versões com prefixo dev. Este problema foi corrigido no Composer 2.2.27 (2.2 LTS) e 2.9.6 (linha principal). Se os desenvolvedores não puderem atualizar imediatamente, podem evitar a instalação de dependências a partir da origem usando `--prefer-dist` ou a configuração `preferred-install: dist`, e usar apenas repositórios Composer confiáveis como medida de mitigação.

Fontes

• composer-CVE-2026-40261-CVE-2026-40176-PoCPoC

  Prova de conceito demonstrando vulnerabilidades de injeção de comandos no driver Perforce do Composer, com dois vetores de ataque e testes baseados em Docker.