Seldaek

لم يكن مكون Process في Symfony يعالج بعض الأحرف بشكل صحيح، وتحديدًا الحرف `=`، عند إخراط الحجج في أنظمة Windows. عند تشغيل PHP من بيئة تعتمد على MSYS2، مثل Git Bash، وتشغيل ملفات تنفيذية أصلية لنظام Windows، قد يؤدي تحويل الحجج/المسارات في MSYS2 إلى معالجة الحجج غير الموضوعة بين علامتي اقتباس والتي تحتوي على هذه الأحرف بشكل غير صحيح. قد يؤدي ذلك إلى تلقي العمليات التي تم تشغيلها لوسائط تالفة أو مقطوعة، مما يخل بالسلوك المتوقع من Symfony. إذا استخدم أحد التطبيقات مكون Process في Symfony لاستدعاء أوامر إدارة الملفات (مثل: `rmdir`، `del`) مع وسيلة مسار تحتوي على `=`، فقد تقوم طبقة التحويل في MSYS2 بتعديل الوسيلة أثناء التنفيذ. قد يؤدي ذلك إلى تنفيذ العمليات في مسار غير مقصود، مما قد يشمل حذف الملفات أو المجلدات. وتزداد أهمية هذه المشكلة بشكل خاص عندما تؤثر المدخلات غير الموثوقة على معلمات العملية، مثل مسارات المستودعات، أو مسارات الملفات المستخرجة، أو المجلدات المؤقتة، أو الإعدادات التي يتحكم فيها المستخدم.

قد يسمح Composer، وهو مدير التبعيات لـ PHP، للمهاجمين الذين يتحكمون في المصادر البعيدة التي يقوم Composer بتنزيلها، بحقن أحرف التحكم ANSI في إخراج المحطة الطرفية لعدة أوامر من Composer. وقد يؤدي ذلك إلى إخراج مشوه، ويحتمل أن يتسبب في حالة رفض الخدمة لتطبيق المحطة الطرفية. لا توجد أي استغلالات معروفة لهذه المشكلة، ولكنها تعتبر قابلة للاستغلال.

The issue is related to the incorrect neutralization of special elements in the `getUnpushedChanges()` function of the Composer dependency manager for PHP. This can allow a remote attacker to execute arbitrary commands using the `status`, `reinstall`, and `remove` commands with packages installed from source via git containing specially crafted branch names in the repository.

The issue is related to the `VcsDriver::getFileContent` method in Composer, a dependency manager for PHP. If a user can control the `$file` or `$identifier` argument, it may lead to a code injection vulnerability. This vulnerability can be exploited on platforms like packagist.org, where the `readme` field in composer.json can be used to inject parameters into hg/Mercurial via the `$file` argument or into git via the `$identifier` argument. To the best of our knowledge, this vulnerability was not actively exploited. The vulnerability has been patched on packagist.org and Private Packagist within a day of the vulnerability report.