CVE-2026-40261

إصدارات Composer من 1.0 إلى 2.2.26

إصدارات Composer من 2.3 إلى 2.9.5

يمكن حدوث حقن الأوامر في Composer، وهو مدير التبعيات في PHP. تقوم الدالة Perforce::syncCodeBase() بإلحاق المعلمة $sourceReference بأمر شل دون إجراء الهروب المناسب. بالإضافة إلى ذلك، تقوم الدالة Perforce::generateP4Command() بإنشاء أوامر شل عن طريق استيفاء معلمات اتصال Perforce التي يزودها المستخدم (المنفذ، المستخدم، العميل) من حقل عنوان URL المصدر دون إجراء الهروب المناسب. يمكن للمهاجم حقن أوامر عشوائية من خلال قيم مرجع المصدر أو عنوان URL المصدر المصممة خصيصًا والتي تحتوي على أحرف خاصة في شل. يتم توفير هذه القيم كجزء من بيانات تعريف الحزمة، مما يعني أن مستودع Composer المخترق أو الخبيث يمكنه تقديم بيانات تعريف خبيثة تعلن Perforce كنوع مصدر. يمكن استغلال هذه المشكلة عند تثبيت التبعيات أو تحديثها من المصدر، ويتم تنفيذ الأوامر حتى إذا لم يكن Perforce مثبتًا على نظام العميل.

قم بتحديث إصدارات Composer من 1.0 إلى 2.2.26 إلى الإصدار 2.2.27.

قم بتحديث إصدارات Composer من 2.3 إلى 2.9.5 إلى الإصدار 2.9.6.

تجنب تثبيت التبعيات من المصدر باستخدام العلامة --prefer-dist أو إعداد التكوين preferred-install: dist.

استخدم مستودعات Composer الموثوقة فقط.