Composer 2.9.6 安全更新：命令注入、凭证泄露及加密算法修复

Composer 2.9.6 安全更新总结 漏洞概述 Composer 2.9.6 版本修复了多个严重的安全漏洞，主要涉及命令注入、凭证泄露和加密算法使用不当等问题。 影响范围 命令注入漏洞：通过恶意 Perforce reference 或 repository definition 触发。 Git 凭证泄露：克隆或更新失败后，git 镜像中残留凭证。 加密算法问题：使用不安全的 3DES 加密算法。 用户输入未转义：Perforce 未转义的用户输入在 query4User shell 命令中。 分支名称验证不足：git/hg/perforce/fossil 标识符验证不足，可能导致问题。 修复方案 命令注入修复：修复了通过恶意 Perforce reference 和 repository definition 触发的命令注入漏洞。 凭证清理：在克隆或更新失败后，清理 git 镜像中的残留凭证。 加密算法升级：替换不安全的 3DES 加密算法。 输入转义：对 Perforce 用户输入进行转义处理。 分支名称验证：增强 git/hg/perforce/fossil 标识符的验证逻辑，确保分支名称以特定字符开头。 其他修复 修复了 SingleCommandApplication 脚本命令的自动加载问题。 修复了 GitHub API 认证错误对用户不可见的问题。 修复了 Composer 在 web SAPIs 中运行时平台包解析失败的问题。 改进了约束解析失败时的错误报告清晰度。 参考链接 CVE-2026-40261 CVE-2026-40176 Issue #28462 Issue #27427 Issue #27373 Issue #2735 Issue #2743 Issue #2758 Issue #661045 Issue #683699 Issue #588276

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Composer 2.9.6 安全更新：命令注入、凭证泄露及加密算法修复

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Composer 2.9.6 安全更新：命令注入、凭证泄露及加密算法修复

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！