CVE-2026-40176

Name of the Vulnerable Software and Affected Versions Composer versões 1.0 a 2.2.26 Composer versões 2.3 a 2.9.5

Description Um problema de injeção de comando existe no driver VCS Perforce do Composer, um gerenciador de dependências para PHP. A função Perforce::generateP4Command() constrói comandos de shell interpolando parâmetros de conexão Perforce fornecidos pelo usuário sem a devida neutralização. Um invasor pode injetar comandos arbitrários através das variáveis port, user ou client dentro de um arquivo 'composer.json' malicioso que declare um repositório VCS Perforce. Isso permite a execução de comandos arbitrários no contexto do usuário que executa o Composer, independentemente de o Perforce estar instalado no sistema. Este problema pode ser acionado ao executar comandos do Composer em projetos não confiáveis. Repositórios VCS são carregados apenas do 'composer.json' raiz ou do diretório de configuração do composer, o que significa que não pode ser explorado via pacotes de dependência.

Recommendations Atualize para a versão 2.2.27 para as versões 1.0 a 2.2.26. Atualize para a versão 2.9.6 para as versões 2.3 a 2.9.5. Execute comandos do Composer apenas em projetos de fontes confiáveis. Inspecione cuidadosamente os arquivos 'composer.json' para verificar se os campos relacionados ao Perforce contêm valores válidos antes da execução.