Um pacote maliciosamente criado, publicado em um repositório de terceiros não confiável, além do Packagist.org ou do Packagist Privado, pode fazer com que o Composer escreva arquivos fora do diretório `vendor/` e fora do seu projeto, com conteúdo controlado pelo atacante, durante um `instalar` ou `actualizar' normal usando um nome de pacote inválido, que não foi validado corretamente pelo Composer. Este é um arquivo de gravação arbitrária que pode ser usado para executar código fora do contexto do projeto Composer no qual você esperava que o código do pacote fosse executado (por exemplo, escrevendo arquivos de inicialização de shell, SSH `authorized_keys`, ou uma entrada cron). É um problema da cadeia de suprimentos: requer que um pacote malicioso ou comprometido esteja presente no gráfico de dependência, de outra forma não é remotamente explorável contra uma máquina. A correção faz com que o Composer valide todos os pacotes produzidos pela resolução de dependência antes que qualquer coisa seja escrita para `composer.lock` ou instalado, e aborte com um erro de segurança se um nome de pacote não for um nome válido `vendor/package`.
Você pode ser afetado se instalar pacotes de um repositório de terceiros não confiável, o que não valida os nomes de pacotes suficientemente. Packagist.org e Packagist Privado estão seguros, pois validam corretamente os nomes dos pacotes. Corrigido em ** 2.2.29 ** e ** 2.10.2 **. Composidor 1.x também é afetado e você deve mover-se para um cofre 2.x liberação. Não use repositórios de pacotes não confiáveis. Se você precisar, espelhe- os através de um repositório interno como o Packagist Privado.
Registro de aconselhamento: GHSA- 499 r- g 7 pc-vmp 9. Identificadores relacionados: CVE- 2026 - 59948. Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 20 T 19: 15: 29.000 Z e lista a sua última modificação como 2026 - 07 - 20 T 19: 15: 29.000 Z. Severidade: ALTAMENTE. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H.
Software afetado e informações de versão: Packagist Package Composer/ Composer — ECOSISTEM: introduzido 2.3.0, corrigido 2.10.2 ї Composidor/compositor de pacotes Packagist — ECOSISTEM: introduzido 1.0.0, corrigido 2.2.29. Classificação e evidência: identificadores de fraqueza CWE- 22, CWE- 787. O registro contém 7 suporte de referências nestes tipos: WEB, AVISO, EMBALAGAMENTO.