CVE-2026-84361

Nome do Software Vulnerável e Versões Afetadas Composer versões 1.0 até 2.2.29 Composer versões 2.10.0 até 2.10.2

Description O Composer, um gerenciador de dependências para PHP, não valida o source.url quando o source.type é definido como perforce. Um pacote malicioso de um repositório personalizado ou um arquivo composer.lock não confiável pode especificar um valor P4PORT rsh: ou jsh:. Se o cliente Perforce p4 estiver instalado, a execução de composer install ou composer update (incluindo a flag --prefer-source) faz com que a função ComposerUtilPerforce passe o endereço não validado para o p4, resultando na execução de comandos locais com os privilégios do usuário ou da conta de CI.

Recommendations Atualize para a versão 2.2.30 ou posterior. Atualize para a versão 2.10.3 ou posterior.