Zaloguj się
Deutsch English Español Polski
Niska

Composer is vulnerable to ANSI sequence injection

  • Ujawniono: 30.12.2025
  • Aktualizacja: 11.10.2026 10:22

Impact

Attackers controlling remote sources that Composer downloads from might in some way inject ANSI control characters in the terminal output of various Composer commands, causing mangled output and potentially leading to confusion or DoS of the terminal application.

There is no proven exploit and this has thus a low severity but Composer still published a CVE as it has potential for abuse, and Composer wants to be on the safe side informing users that they should upgrade.

Patches

2.2.26 for 2.2 LTS or 2.9.3 for mainline.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer composer/composer >= 2.0.0, < 2.2.26, >= 2.3.0, < 2.9.3 2.2.26, 2.9.3

Odnośniki

Ocena CVSS -
Wektor CVSS
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N/E:U
Słabość (CWE)
CWE-74
Platforma
Composer
Paczka
composer/composer
Ujawniono
30.12.2025
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-59pp-r3rg-353g - CC BY 4.0

Historia podatności: composer/composer

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (17) w archiwum
Wszystkich wpisów
17
Pierwsza → ostatnia
04.2021 10.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Wysoka 13
  • Średnia 3
  • Niska 1

Ujawnienia w latach

Istotność:
  1. Composer arbitrary command execution via a malicious package's Perforce source URL
    Wysoka CVE-2026-84361 >= 2.3.0, < 2.10.3, >= 1.0, < 2.2.30 2.10.3, 2.2.30
  2. Composer: Arbitrary file write outside vendor via malicious transitive package name
    Wysoka · 7.0 CVE-2026-59948 >= 2.3.0, < 2.10.2, >= 1.0.0, < 2.2.29 2.10.2, 2.2.29
  3. Github Actions issued GITHUB_TOKEN disclosure in GitHub Actions logs
    Wysoka · 7.5 CVE-2026-45793 >= 2.3.0, < 2.9.8, >= 2.0.0, < 2.2.28, >= 1.0, < 1.10.28 2.9.8, 2.2.28, 1.10.28
  4. Composer has a command injection via malicious perforce repository
    Wysoka · 7.8 CVE-2026-40176 >= 2.3.0, < 2.9.6, >= 1.0.0, < 2.2.27 2.9.6, 2.2.27
  5. Composer has a command injection via malicious perforce reference
    Wysoka · 8.8 CVE-2026-40261 >= 2.3.0, < 2.9.6, >= 1.0.0, < 2.2.27 2.9.6, 2.2.27
  6. Composer is vulnerable to ANSI sequence injection ten wpis
    Niska CVE-2025-67746 >= 2.0.0, < 2.2.26, >= 2.3.0, < 2.9.3 2.2.26, 2.9.3
  7. Composer has a command injection via malicious git branch name
    Wysoka · 8.8 CVE-2024-35241 >= 2.0, < 2.2.24, >= 2.3, < 2.7.7 2.2.24, 2.7.7
  8. Composer has multiple command injections via malicious git/hg branch names
    Wysoka · 8.8 CVE-2024-35242 >= 2.0, < 2.2.24, >= 2.3, < 2.7.7 2.2.24, 2.7.7
  9. Composer code execution and possible privilege escalation via compromised InstalledVersions.php or installed.php
    Wysoka · 8.8 CVE-2024-24821 >= 2.0.0-alpha1, < 2.2.23, >= 2.3.0-rc1, < 2.7.0 2.2.23, 2.7.0
  10. Composer Remote Code Execution vulnerability via web-accessible composer.phar
    Wysoka · 8.8 CVE-2023-43655 < 1.10.27, >= 2.0.0, < 2.2.22, >= 2.3.0, < 2.6.4 1.10.27, 2.2.22, 2.6.4
  11. Composer allows cache poisoning from other projects built on the same host
    Wysoka · 8.8 CVE-2015-8371 < 1.0.0 1.0.0
  12. Missing input validation can lead to command execution in composer
    Wysoka · 8.3 CVE-2022-24828 < 1.10.26, >= 2.0, < 2.2.12, >= 2.3, < 2.3.5 1.10.26, 2.2.12, 2.3.5
  13. Improper escaping of command arguments on Windows leading to command injection
    Wysoka · 8.2 CVE-2021-41116 < 1.10.23, >= 2.0.0-alpha1, < 2.1.9 1.10.23, 2.1.9
  14. Composer's missing argument delimiter can lead to code execution via VCS repository URLs or source download URLs on systems with Mercurial
    Wysoka · 8.8 CVE-2021-29472 < 1.10.22, >= 2.0.0-alpha1, < 2.0.13 1.10.22, 2.0.13

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.