Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Composer は、PHP の依存関係マネージャーです。バージョン 1.0 から 2.2.26 および 2.3 から 2.9.5 には、Perforce::generateP4Command() メソッドにコマンドインジェクションの脆弱性があり、これにより、ユーザー指定の Perforce 接続パラメーターポート、ユーザー、クライアントを適切にエスケープせずに補間することで、シェルコマンドが構築されます。攻撃者は、Perforce VCS リポジトリを宣言している悪意のある composer.json のこれらの値を通じて、任意のコマンドを注入することができ、これにより、Perforce がインストールされていない場合でも、Composer を実行しているユーザーのコンテキストでコマンドが実行されることがあります。VCS リポジトリは、rootcomposer.jsonまたはcomposer configディレクトリからのみロードされるため、依存関係としてインストールされたパッケージのcomposer.jsonファイルを介してこれが悪用されることはありません。攻撃者が提供したcomposer.jsonファイルを使用して信頼できないプロジェクトでComposerコマンドを実行する場合、ユーザーは危険にさらされます。この問題は Composer 2.2.272.2 LTSおよび 2.9.6 メインラインで修正されています。CVE-2026-40176

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-40176

high Nessus プラグイン ID 306581

バージョン 1.4