CVE-2026-40176

إصدارات Composer من 1.0 إلى 2.2.26

إصدارات Composer من 2.3 إلى 2.9.5

توجد مشكلة حقن الأوامر في برنامج تشغيل Perforce VCS الخاص بـ Composer، وهو مدير التبعيات لـ PHP. تقوم الدالة Perforce::generateP4Command() بإنشاء أوامر shell عن طريق إدراج معلمات اتصال Perforce التي يزودها المستخدم دون إجراء الهروب المناسب. يمكن للمهاجم حقن أوامر عشوائية من خلال المتغيرات port أو user أو client داخل ملف ’composer.json‘ ضار يعلن عن مستودع Perforce VCS. وهذا يسمح بتنفيذ أوامر تعسفية في سياق المستخدم الذي يقوم بتشغيل Composer، بغض النظر عما إذا كان Perforce مثبتًا على النظام أم لا. يمكن أن تحدث هذه المشكلة عند تشغيل أوامر Composer على مشاريع غير موثوق بها. لا يتم تحميل مستودعات VCS إلا من الملف الجذري «composer.json» أو من دليل تكوين Composer، مما يعني أنه لا يمكن استغلالها عبر حزم التبعيات.

قم بالتحديث إلى الإصدار 2.2.27 للإصدارات من 1.0 إلى 2.2.26.

قم بالتحديث إلى الإصدار 2.9.6 للإصدارات من 2.3 إلى 2.9.5.

لا تقم بتشغيل أوامر Composer إلا على مشاريع من مصادر موثوقة.

افحص ملفات «composer.json» بعناية للتحقق من أن الحقول المتعلقة بـ Perforce تحتوي على قيم صالحة قبل التنفيذ.