Zaloguj się
Deutsch English Español Polski
Wysoka

Composer Remote Code Execution vulnerability via web-accessible composer.phar

  • Ujawniono: 29.09.2023
  • Aktualizacja: 11.10.2026 10:22

Impact

Users publishing a composer.phar to a public web-accessible server where the composer.phar can be executed as a php file may be impacted if PHP also has register_argc_argv enabled in php.ini.

Patches

2.6.4, 2.2.22 and 1.10.27 patch this vulnerability.

Workarounds

Make sure register_argc_argv is disabled in php.ini, and avoid publishing composer.phar to the web as this really should not happen.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer composer/composer < 1.10.27, >= 2.0.0, < 2.2.22, >= 2.3.0, < 2.6.4 1.10.27, 2.2.22, 2.6.4

Odnośniki

Ocena CVSS 8.8/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE)
CWE-74
Platforma
Composer
Paczka
composer/composer
Ujawniono
29.09.2023
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-jm6m-4632-36hf - CC BY 4.0

Historia podatności: composer/composer

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (17) w archiwum
Wszystkich wpisów
17
Pierwsza → ostatnia
04.2021 10.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Wysoka 13
  • Średnia 3
  • Niska 1

Ujawnienia w latach

Istotność:
  1. Composer arbitrary command execution via a malicious package's Perforce source URL
    Wysoka CVE-2026-84361 >= 2.3.0, < 2.10.3, >= 1.0, < 2.2.30 2.10.3, 2.2.30
  2. Composer: Arbitrary file write outside vendor via malicious transitive package name
    Wysoka · 7.0 CVE-2026-59948 >= 2.3.0, < 2.10.2, >= 1.0.0, < 2.2.29 2.10.2, 2.2.29
  3. Github Actions issued GITHUB_TOKEN disclosure in GitHub Actions logs
    Wysoka · 7.5 CVE-2026-45793 >= 2.3.0, < 2.9.8, >= 2.0.0, < 2.2.28, >= 1.0, < 1.10.28 2.9.8, 2.2.28, 1.10.28
  4. Composer has a command injection via malicious perforce repository
    Wysoka · 7.8 CVE-2026-40176 >= 2.3.0, < 2.9.6, >= 1.0.0, < 2.2.27 2.9.6, 2.2.27
  5. Composer has a command injection via malicious perforce reference
    Wysoka · 8.8 CVE-2026-40261 >= 2.3.0, < 2.9.6, >= 1.0.0, < 2.2.27 2.9.6, 2.2.27
  6. Composer has a command injection via malicious git branch name
    Wysoka · 8.8 CVE-2024-35241 >= 2.0, < 2.2.24, >= 2.3, < 2.7.7 2.2.24, 2.7.7
  7. Composer has multiple command injections via malicious git/hg branch names
    Wysoka · 8.8 CVE-2024-35242 >= 2.0, < 2.2.24, >= 2.3, < 2.7.7 2.2.24, 2.7.7
  8. Composer code execution and possible privilege escalation via compromised InstalledVersions.php or installed.php
    Wysoka · 8.8 CVE-2024-24821 >= 2.0.0-alpha1, < 2.2.23, >= 2.3.0-rc1, < 2.7.0 2.2.23, 2.7.0
  9. Composer Remote Code Execution vulnerability via web-accessible composer.phar ten wpis
    Wysoka · 8.8 CVE-2023-43655 < 1.10.27, >= 2.0.0, < 2.2.22, >= 2.3.0, < 2.6.4 1.10.27, 2.2.22, 2.6.4
  10. Composer allows cache poisoning from other projects built on the same host
    Wysoka · 8.8 CVE-2015-8371 < 1.0.0 1.0.0
  11. Missing input validation can lead to command execution in composer
    Wysoka · 8.3 CVE-2022-24828 < 1.10.26, >= 2.0, < 2.2.12, >= 2.3, < 2.3.5 1.10.26, 2.2.12, 2.3.5
  12. Improper escaping of command arguments on Windows leading to command injection
    Wysoka · 8.2 CVE-2021-41116 < 1.10.23, >= 2.0.0-alpha1, < 2.1.9 1.10.23, 2.1.9
  13. Composer's missing argument delimiter can lead to code execution via VCS repository URLs or source download URLs on systems with Mercurial
    Wysoka · 8.8 CVE-2021-29472 < 1.10.22, >= 2.0.0-alpha1, < 2.0.13 1.10.22, 2.0.13

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.