CVE-2026-59944
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Composer to menedżer zależności dla języka PHP. Od wersji 1.0 do 2.2.30 i od 2.3.0 do 2.10.3 złośliwa lub naruszona zależność może ominąć wcześniejsze zabezpieczenia ścieżki binarnej CVE-2026-59946, ponieważ Composer sprawdza dosłowne segmenty katalogu nadrzędnego tylko podczas rozpoznawania zależności, podczas gdy ścieżki dowiązań symbolicznych i zainstalowanych metadanych opisane w poradniku pomijają tę weryfikację. Pakiet może zawierać binarne dowiązanie symboliczne zawarte w pakiecie, które jest rozpoznawane poza katalogiem instalacyjnym lub metadane dostawcy/kompozytora/installed.json będące pod wpływem atakującego mogą zapewnić ucieczkę ścieżki binarnej podczas ponownej instalacji lub regeneracji brakujących wpisów dostawcy/bin. Ścieżka zainstalowanych metadanych jest osiągalna tylko wtedy, gdy katalog dostawcy nie został zapełniony przez tę samą zweryfikowaną instalację, na przykład gdy jest on przywracany z niezaufanej pamięci podręcznej, kopiowany z wcześniejszego etapu kompilacji, przenoszony ze starszego uruchomienia Composer lub możliwy do zapisu w etapie kompilacji o niższym zaufaniu. Composer może podążać ścieżką, zmieniać uprawnienia celu zewnętrznego, aby był czytelny dla wszystkich i wykonywalny, a także utworzyć uruchamialne proxy dostawcy/bin dla tego pliku zewnętrznego. Problem nie odczytuje ani nie przesyła bezpośrednio danych i sam w sobie nie zapewnia zdalnego wykonania kodu. Ten problem został rozwiązany w wersjach 2.2.30 i 2.10.3.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/composer/composer/commit/53b8bb4c24697b2f00a18cf1ef35a10392701b89
- https://github.com/composer/composer/commit/ad649fdfdf8ed826d4a34e0e5690c76a0b4833aa
- https://github.com/composer/composer/releases/tag/2.10.3
- https://github.com/composer/composer/releases/tag/2.2.30
- https://github.com/composer/composer/security/advisories/GHSA-96h3-5x6v-m776
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org