CVE-2024-35241

Versões do Composer anteriores à 2.2.24 e à 2.7.7

O problema está relacionado à neutralização incorreta de elementos especiais na função getUnpushedChanges() do gerenciador de dependências Composer para PHP. Isso pode permitir que um invasor remoto execute comandos arbitrários usando os comandos status, reinstall e remove com pacotes instalados a partir do código-fonte via git que contenham nomes de ramificações especialmente criados no repositório.

Para versões anteriores à 2.2.24, atualize para a versão 2.2.24 do ramo 2.2 LTS.

Para versões anteriores à 2.7.7, atualize para a versão 2.7.7 do ramo principal.

Como solução temporária, evite instalar dependências via git usando --prefer-dist ou a configuração preferred-install: dist.