概要
PHP依存管理ツール「Composer」のバージョン1.0〜2.2.26および2.3〜2.9.5に、コマンドインジェクション脆弱性が存在します。
Perforce::syncCodeBase()メソッドおよびPerforce::generateP4Command()メソッドにおいて、ユーザー提供のPerforce接続パラメータ（port, user, client）がエスケープされずにシェルコマンドに組み込まれます。CVE-2026-40176とは異なり、ソースリファレンスとURLはパッケージメタデータの一部として提供されるため、任意の侵害されたComposerリポジトリがPerforceソースタイプを宣言することで悪用可能です。Perforceがインストールされていなくても悪用可能です。
CVSSベクトル
| 指標 | 値 |
|---|---|
| CVSSスコア | 8.8（High） |
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 低 |
| 必要な権限レベル | なし |
| CWE | CWE-78（OSコマンドインジェクション） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン | 修正バージョン |
|---|---|---|---|
| Composer | Composer | 1.0〜2.2.26 | 2.2.27 |
| Composer | Composer | 2.3〜2.9.5 | 2.9.6 |
修正バージョンと回避策
- 修正: Composer 2.2.27（LTS）または2.9.6（メインライン）へアップデート
- 回避策:
--prefer-distオプションを使用するか、preferred-install: dist設定で依存をソースからインストールしないようにする
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。