Composer - CVE-2026-40261

Il s'agit d'une vulnérabilité dans le pilote VCS Perforce de Composer, au niveau de la méthode Perforce::syncCodeBase().

Composer est le gestionnaire de dépendances de référence pour PHP, utilisé pour installer, mettre à jour et résoudre les dépendances de projets PHP via Packagist et d'autres dépôts.

Cette méthode ajoute le paramètre $sourceReference à une commande shell sans échappement adéquat. Un attaquant peut fournir une référence source malveillante contenant des métacaractères shell (|, ;, $(), etc.) via les métadonnées d'un dépôt Composer compromis ou malveillant. Composer tente d'exécuter la commande construite même si Perforce n'est pas installé sur le système. L'exploitation se déclenche lors d'une opération composer install ou composer update avec --prefer-source, qui est le comportement par défaut pour les versions préfixées dev-.

Elle permet l'exécution de commandes arbitraires dans le contexte de l'utilisateur, avec une atteinte totale à la confidentialité, à l'intégrité et à la disponibilité, y compris dans les pipelines CI/CD.