因此，该软件受到 ALAS2023-2026-1941 公告中提及的多个漏洞影响。

    Composer 是 PHP 语言的依存关系管理器。在 和 2.10.2之前2.2.29，包含 .. 路径段的编辑器程序包 bin 条目可在程序包安装目录之外解析并导致 Composer 的二进制安装流在 Composer 安装、更新或要求期间，将现有主机文件 chmod 为全局可读和全局可执行模式。此问题在版本 2.2.29 和 2.10.2中已修复。
    (CVE-2026-59946)

    Composer 是 PHP 语言的依存关系管理器。在 2.2.29 和 2.10.2之前，当以 -vvv 调试详细程度运行 Composer 时，它可能会打印嵌入在存储库或程序包 URL 的用户名插槽中的凭据（例如 中的 GitHub Personal Access Token https://TOKEN@host/）来调试输出，因为 AuthHelper、Url：：sanitize 和 ProcessExecutor 未审查仅限用户名的 URL 凭据。此问题已在 2.2.29 和 2.10.2 版本中得到修补。(CVE-2026-59947)

    Composer 是 PHP 语言的依存关系管理器。在 2.2.29 和 2.10.2之前，来自不受信任的存储库（而不是 Packagist.org 或 Private Packagist）的恶意构建的程序包可通过使用在写入或安装依存关系解析结果之前未经正确验证的无效程序包名称，导致 Composer 在安装或更新期间将受攻击者控制的文件写入供应商目录外和项目外部。此问题已在 2.2.29 和 2.10.2 版本中得到修补。(CVE-2026-59948)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2023：composer (ALAS2023-2026-1941)

high Nessus 插件 ID 328484

版本 1.1