Tóm tắt nhanh
- CVE-2023-43655 là lỗ hổng mức CAO (CVSS 8.8) ảnh hưởng composer/composer, composer (getcomposer).
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.5%, cao hơn 74.8% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 2.2.22, 2.6.4, 1.10.27, 2.2.21 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| composer/composer Packagist | ≥ 2.0.0, < 2.2.22≥ 2.3.0, < 2.6.4< 1.10.27
| 2.2.222.6.41.10.27
|
| composer | ≥ 2.0.0, < 2.2.21≥ 2.3.0, < 2.6.4< 1.10.27
| 2.2.212.6.41.10.27
|
Mô tả
Impact
Users publishing a composer.phar to a public web-accessible server where the composer.phar can be executed as a php file may be impacted if PHP also has register_argc_argv enabled in php.ini.
Patches
2.6.4, 2.2.22 and 1.10.27 patch this vulnerability.
Workarounds
Make sure register_argc_argv is disabled in php.ini, and avoid publishing composer.phar to the web as this really should not happen.
Mô tả của NVD
Composer is a dependency manager for PHP. Users publishing a composer.phar to a public web-accessible server where the composer.phar can be executed as a php file may be subject to a remote code execution vulnerability if PHP also has `register_argc_argv` enabled in php.ini. Versions 2.6.4, 2.2.22 and 1.10.27 patch this vulnerability. Users are advised to upgrade. Users unable to upgrade should make sure `register_argc_argv` is disabled in php.ini, and avoid publishing composer.phar to the web as this is not best practice.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí