JVNDB-2026-012783

Composerにおける複数の脆弱性

ComposerはPHPの依存関係マネージャーです。バージョン1.0から2.2.26、および2.3から2.9.5には、Perforce::syncCodeBase()メソッドにコマンドインジェクションの脆弱性が存在します。このメソッドは$sourceReferenceパラメータを適切にエスケープせずにシェルコマンドに追加します。さらに、Perforce::generateP4Command()メソッドにも同様の脆弱性があり、ソースURLフィールドからユーザー提供のPerforce接続パラメータ（ポート、ユーザー、クライアント）を適切にエスケープせずに展開されます。攻撃者はPerforceがインストールされていなくても、特殊なシェルメタキャラクターを含む細工されたソースリファレンスまたはソースURL値を介して任意のコマンドを注入できます。ソースリファレンスとURLはパッケージメタデータの一部として提供されるため、侵害された、または悪意のあるComposerリポジトリがperforceをソースタイプとして宣言し、悪意のある値を含むパッケージメタデータを提供する可能性があります。この脆弱性は依存関係をソースからインストールまたは更新する際に悪用される可能性があり、dev接頭辞付きバージョンのインストール時のデフォルト動作を含みます。この問題はComposer 2.2.27および2.9.6で修正されました。開発者が即時にアップデートできない場合は、--prefer-distオプションやpreferred-install: distの設定を使用してソースからの依存関係インストールを回避し、信頼できるComposerリポジトリのみを使用することを推奨します。

Composer

• Composer 1.0.0 から 2.2.26
• Composer 2.3.0 から 2.9.5

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Command injection via malicious Perforce source reference/url  Advisory  composer/composer  GitHub

1. 不適切な入力確認(CWE-20) [その他]
2. OSコマンドインジェクション(CWE-78) [NVD評価]
3. OSコマンドインジェクション(CWE-78) [その他]

1. CVE-2026-40261

1. National Vulnerability Database (NVD) : CVE-2026-40261
2. 関連文書 : Release 2.9.6  composer/composer  GitHub

• [2026年04月27日]
    掲載