CVE-2021-29472

Composer es un administrador de dependencias para PHP. Las URL de los repositorios de Mercurial en la root composer.json y las URL de descarga de la fuente del paquete no se sanean correctamente. Los valores de URL específicamente diseñados permiten que el código se ejecute en HgDriver si hg/Mercurial está instalado en el sistema. El impacto para usuarios de Composer directamente es limitado ya que el archivo composer.json generalmente está bajo su propio control y las URL de descarga de origen solo pueden ser proporcionadas por repositorios de Composer de terceros en los que confían explícitamente para descargar y ejecutar el código fuente, por ejemplo, complementos de Composer. El principal impacto es en los servicios que pasan la entrada del usuario a Composer, incluidos Packagist.org y Private Packagist. Esto permitió a usuarios activar la ejecución remota de código. La vulnerabilidad se ha corregido en Packagist. org y Private Packagist dentro de las 12 horas posteriores a la recepción del informe de vulnerabilidad inicial y, en base a una revisión de los registros, hasta donde sabemos, nadie abusó de ella. Otros servicios y herramientas que usan VcsRepository/VcsDriver o derivados también pueden ser vulnerables y deberían actualizar su dependencia de compositor/compositor de inmediato. Las versiones 1.10.22 y 2.0.13 incluyen parches para este problema