CVE-2022-24828

Composer (versões afetadas não especificadas)

O problema está relacionado ao método VcsDriver::getFileContent no Composer, um gerenciador de dependências para PHP. Se um usuário puder controlar o argumento $file ou $identifier, isso poderá levar a uma vulnerabilidade de injeção de código. Essa vulnerabilidade pode ser explorada em plataformas como o packagist.org, onde o campo readme no composer.json pode ser usado para injetar parâmetros no hg/Mercurial por meio do argumento $file ou no git por meio do argumento $identifier. Pelo que sabemos, essa vulnerabilidade não foi explorada ativamente. A vulnerabilidade foi corrigida no packagist.org e no Private Packagist em menos de um dia após o relatório da vulnerabilidade.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.