CVE-2026-40176

总结

Composer 是 PHP 的依赖管理器。版本 1.0 至 2.2.26 以及 2.3 至 2.9.5 在 Perforce::generateP4Command() 方法中包含一个命令注入漏洞，该方法通过插值用户提供的 Perforce 连接参数（端口、用户、客户端）来构造 shell 命令，且未进行适当的转义。攻击者可以通过恶意 composer.json 中声明的 Perforce VCS 仓库中的这些值注入任意命令，从而在运行 Composer 的用户的上下文中执行命令，即使未安装 Perforce 也是如此。VCS 仓库仅从根 composer.json 或 composer 配置目录加载，因此无法通过作为依赖项安装的软件包的 composer.json 文件加以利用。如果用户对不受信任的项目运行 Composer 命令，且这些项目包含攻击者提供的 composer.json 文件，则用户将面临风险。此问题已在 Composer 2.2.27（2.2 LTS）和 2.9.6（主线版）中修复。

• CVE-2026-40176PoC

  CVE-2026-40176 的差异化概念验证，演示了通过恶意仓库 URL 在 Composer 的 Perforce 驱动程序中实现操作系统命令注入，并针对受影响版本和已修复版本进行自动化 A/B 测试。

• composer-CVE-2026-40261-CVE-2026-40176-PoCPoC

  概念验证，演示 Composer 的 Perforce 驱动程序中存在的命令注入漏洞，包含两种攻击向量及基于 Docker 的测试方法。

• cve-2026-40176-cve-2026-40261PoC

  概念验证，演示 Composer 的 Perforce 驱动中的命令注入漏洞（CVE-2026-40176），可通过精心构造的仓库配置实现远程代码执行。