Zaloguj się
Deutsch English Español Polski
Wysoka

Composer code execution and possible privilege escalation via compromised InstalledVersions.php or installed.php

  • Ujawniono: 08.02.2024
  • Aktualizacja: 11.10.2026 10:22

Impact

Several files within the local working directory are included during the invocation of Composer and in the context of the executing user.

As such, under certain conditions arbitrary code execution may lead to local privilege escalation, provide lateral user movement or malicious code execution when Composer is invoked within a directory with tampered files.

All Composer CLI commands are affected, including composer.phar's self-update.

The following are of high risk:

  • Composer being run with sudo.
  • Pipelines which may execute Composer on untrusted projects.
  • Shared environments with developers who run Composer individually on the same project.

Patches

2.7.0, 2.2.23

Workarounds

  • It is advised that the patched versions are applied at the earliest convenience.

Where not possible, the following should be addressed:

  • Remove all sudo composer privileges for all users to mitigate root privilege escalation.
  • Avoid running Composer within an untrusted directory, or if needed, verify that the contents of vendor/composer/InstalledVersions.php and vendor/composer/installed.php do not include untrusted code.

A reset can also be done on these files by the following:

bash
rm vendor/composer/installed.php vendor/composer/InstalledVersions.php
composer install --no-scripts --no-plugins

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer composer/composer >= 2.0.0-alpha1, < 2.2.23, >= 2.3.0-rc1, < 2.7.0 2.2.23, 2.7.0

Odnośniki

Ocena CVSS 8.8/10
Wektor CVSS
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Słabość (CWE)
CWE-829
Platforma
Composer
Paczka
composer/composer
Ujawniono
08.02.2024
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-7c6p-848j-wh5h - CC BY 4.0

Historia podatności: composer/composer

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (17) w archiwum
Wszystkich wpisów
17
Pierwsza → ostatnia
04.2021 10.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Wysoka 13
  • Średnia 3
  • Niska 1

Ujawnienia w latach

Istotność:
  1. Composer arbitrary command execution via a malicious package's Perforce source URL
    Wysoka CVE-2026-84361 >= 2.3.0, < 2.10.3, >= 1.0, < 2.2.30 2.10.3, 2.2.30
  2. Composer: Arbitrary file write outside vendor via malicious transitive package name
    Wysoka · 7.0 CVE-2026-59948 >= 2.3.0, < 2.10.2, >= 1.0.0, < 2.2.29 2.10.2, 2.2.29
  3. Github Actions issued GITHUB_TOKEN disclosure in GitHub Actions logs
    Wysoka · 7.5 CVE-2026-45793 >= 2.3.0, < 2.9.8, >= 2.0.0, < 2.2.28, >= 1.0, < 1.10.28 2.9.8, 2.2.28, 1.10.28
  4. Composer has a command injection via malicious perforce repository
    Wysoka · 7.8 CVE-2026-40176 >= 2.3.0, < 2.9.6, >= 1.0.0, < 2.2.27 2.9.6, 2.2.27
  5. Composer has a command injection via malicious perforce reference
    Wysoka · 8.8 CVE-2026-40261 >= 2.3.0, < 2.9.6, >= 1.0.0, < 2.2.27 2.9.6, 2.2.27
  6. Composer has a command injection via malicious git branch name
    Wysoka · 8.8 CVE-2024-35241 >= 2.0, < 2.2.24, >= 2.3, < 2.7.7 2.2.24, 2.7.7
  7. Composer has multiple command injections via malicious git/hg branch names
    Wysoka · 8.8 CVE-2024-35242 >= 2.0, < 2.2.24, >= 2.3, < 2.7.7 2.2.24, 2.7.7
  8. Composer code execution and possible privilege escalation via compromised InstalledVersions.php or installed.php ten wpis
    Wysoka · 8.8 CVE-2024-24821 >= 2.0.0-alpha1, < 2.2.23, >= 2.3.0-rc1, < 2.7.0 2.2.23, 2.7.0
  9. Composer Remote Code Execution vulnerability via web-accessible composer.phar
    Wysoka · 8.8 CVE-2023-43655 < 1.10.27, >= 2.0.0, < 2.2.22, >= 2.3.0, < 2.6.4 1.10.27, 2.2.22, 2.6.4
  10. Composer allows cache poisoning from other projects built on the same host
    Wysoka · 8.8 CVE-2015-8371 < 1.0.0 1.0.0
  11. Missing input validation can lead to command execution in composer
    Wysoka · 8.3 CVE-2022-24828 < 1.10.26, >= 2.0, < 2.2.12, >= 2.3, < 2.3.5 1.10.26, 2.2.12, 2.3.5
  12. Improper escaping of command arguments on Windows leading to command injection
    Wysoka · 8.2 CVE-2021-41116 < 1.10.23, >= 2.0.0-alpha1, < 2.1.9 1.10.23, 2.1.9
  13. Composer's missing argument delimiter can lead to code execution via VCS repository URLs or source download URLs on systems with Mercurial
    Wysoka · 8.8 CVE-2021-29472 < 1.10.22, >= 2.0.0-alpha1, < 2.0.13 1.10.22, 2.0.13

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.