因此，它會受到 ALAS2023-2026-1365 公告中提及的一個弱點影響。

    - Composer 是 PHP 的相依性管理員。在 2.x2.2.26 與 2.9.3之前的 [] 分支上控制供 Composer 下載之遠端來源的攻擊者可能以某種方式在多種 Composer 命令的終端輸出中插入 ANSI 控製字元進而造成輸出錯誤且可能導致混淆或 DoS的終端機應用程式。目前尚無已證實的惡意利用情形因此嚴重性較低但我們仍會發布 CVE因為其可能遭到濫用而且為了安全起見我們會通知使用者應進行升級。 2.2.26 和 2.9.3 版包含針對 問題的修補程式。
    (CVE-2025-67746)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Composer 是 PHP 的相依性管理員。在 2.x2.2.26 與 2.9.3之前的 [] 分支上控制供 Composer 下載之遠端來源的攻擊者可能以某種方式在多種 Composer 命令的終端輸出中插入 ANSI 控製字元進而造成輸出錯誤且可能導致混淆或 DoS的終端機應用程式。目前尚無已證實的惡意利用情形因此嚴重性較低但我們仍會發布 CVE因為其可能遭到濫用而且為了安全起見我們會通知使用者應進行升級。 2.2.26 和 2.9.3 版包含針對 問題的修補程式。
    (CVE-2025-67746)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Composer 是 PHP 的依存关系管理器。在低于 [ 2.2.26 和 2.9.3的 [ 2.x 分支版本中攻击者控制 Composer 从中下载的远程源可能会以某种方式在各种 Composer 命令的终端输出中注入 ANSI 控制字符从而造成输出损坏并可能导致混淆或 DoS的终端应用程序的 。尚无经证实的利用漏洞因此严重性较低但我们仍然发布了一个 CVE因为它可能会被滥用并且安全起见我们会通知用户他们应该进行升级。版本 2.2.26 和 2.9.3 包含针对 问题的修补程序。
    (CVE-2025-67746)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

因此，该应用程序受到 ALAS2023-2026-1365 公告中提及的一个漏洞影响。

    Composer 是 PHP 的依存关系管理器。在低于 [ 2.2.26 和 2.9.3的 [ 2.x 分支版本中攻击者控制 Composer 从中下载的远程源可能会以某种方式在各种 Composer 命令的终端输出中注入 ANSI 控制字符从而造成输出损坏并可能导致混淆或 DoS的终端应用程序的 。尚无经证实的利用漏洞因此严重性较低但我们仍然发布了一个 CVE因为它可能会被滥用并且安全起见我们会通知用户他们应该进行升级。版本 2.2.26 和 2.9.3 包含针对 问题的修补程序。
    (CVE-2025-67746)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

リモートの Fedora 43 ホストには、FEDORA-2026-0b03072979 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    ### バージョン 2.9.3 - 2025 年 12 月 30 日

      * セキュリティANSI シーケンスインジェクションを修正しましたGHSA-59pp-r3rg-353g / CVE-2025-67746
      * 「COMPOSER_NO_SECURITY_BLOCKING」env var が「install」コマンドによって行われる「updates」に関して考慮されない問題を修正し、「install」にも「--no-security-blocking」フラグを追加しました#12677]
      * ロックされたパッケージに脆弱性が含まれている際に「update --lock」「/ 更新ミラー」が機能しないのを修正しました#12645
      * 「client-certificate」認証実装を修正しました#12667
      * ValidatingArrayLoader で検証されなかった「php-ext」スキーマを修正しました#12694
      * 「--bump-after-update」が使用され、ロックファイルが無効のときのクラッシュを修正しました#12660
      * macOS での SecureTransport + LibreSSL のサポートを修正しました#12615
      * アドバイザリが無視される理由の表示を修正#12668
      * git で log.showSignature が有効になっている場合に互換性の問題を修正しました#12666
      * タイムアウトerr 28障害発生時に curl ダウンローダーが再試行しないのを修正しました#12662
      * 機能するために完全な Composer インスタンスを必要とする EventDispatcher を修正#12629



Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Composer は、PHP の依存関係マネージャーです。 2.2.26 および 2.9.3より前の 2.x ブランチのバージョンでは、Composer のダウンロード元であるリモートソースをコントロールする攻撃者が、さまざまな Composer コマンドのターミナル出力で ANSI コントロール文字を何らかの方法で注入する可能性があります。これにより、出力がマングルされ、混乱や DoS が引き起こされる可能性があります。ターミナルアプリケーションの。実証されている悪用はなく、このため重要度は低いですが、悪用の可能性があるため引き続き CVE を公開し、ユーザーにアップグレードするべきことを通知する安全側になりたいと考えています。バージョン 2.2.26 および 2.9.3 には、この問題に対するパッチが含まれています。
    (CVE-2025-67746)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2026:0825-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    CVE-2025-67746攻撃者が制御するリモートソースを介した、さまざまな Composer コマンドのターミナル出力での ANSI コントロール文字インジェクションを修正しました。bsc#1255768

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 42 ホストには、FEDORA-2026-13b4dbe546 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    ### バージョン 2.9.3 - 2025 年 12 月 30 日

      * セキュリティANSI シーケンスインジェクションを修正しましたGHSA-59pp-r3rg-353g / CVE-2025-67746
      * 「COMPOSER_NO_SECURITY_BLOCKING」env var が「install」コマンドによって行われる「updates」に関して考慮されない問題を修正し、「install」にも「--no-security-blocking」フラグを追加しました#12677]
      * ロックされたパッケージに脆弱性が含まれている際に「update --lock」「/ 更新ミラー」が機能しないのを修正しました#12645
      * 「client-certificate」認証実装を修正しました#12667
      * ValidatingArrayLoader で検証されなかった「php-ext」スキーマを修正しました#12694
      * 「--bump-after-update」が使用され、ロックファイルが無効のときのクラッシュを修正しました#12660
      * macOS での SecureTransport + LibreSSL のサポートを修正しました#12615
      * アドバイザリが無視される理由の表示を修正#12668
      * git で log.showSignature が有効になっている場合に互換性の問題を修正しました#12666
      * タイムアウトerr 28障害発生時に curl ダウンローダーが再試行しないのを修正しました#12662
      * 機能するために完全な Composer インスタンスを必要とする EventDispatcher を修正#12629



Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2026-1365 のアドバイザリに記載されている脆弱性の影響を受けます。

    Composer は、PHP の依存関係マネージャーです。 2.2.26 および 2.9.3より前の 2.x ブランチのバージョンでは、Composer のダウンロード元であるリモートソースをコントロールする攻撃者が、さまざまな Composer コマンドのターミナル出力で ANSI コントロール文字を何らかの方法で注入する可能性があります。これにより、出力がマングルされ、混乱や DoS が引き起こされる可能性があります。ターミナルアプリケーションの。実証されている悪用はなく、このため重要度は低いですが、悪用の可能性があるため引き続き CVE を公開し、ユーザーにアップグレードするべきことを通知する安全側になりたいと考えています。バージョン 2.2.26 および 2.9.3 には、この問題に対するパッチが含まれています。
    (CVE-2025-67746)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:20670-1 アドバイザリで言及されています。

    - CVE-2025-67746:攻撃者がコントロールするリモートソース(bsc#1255768)を介した、さまざまな Composer コマンドの端末出力における ANSI コントロール文字インジェクション。
    - CVE-2026-40176:悪意のある Perforce リポジトリ定義による任意のコマンドインジェクション(bsc#1262254)。
    - CVE-2026-40261:悪意のある Perforce ソース参照/url による任意のコマンドインジェクション(bsc#1262255)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Fedora 43 host has a package installed that is affected by a vulnerability as referenced in the FEDORA-2026-0b03072979 advisory.

    ### Version 2.9.3 -  2025-12-30

      * Security: Fixed ANSI sequence injection (GHSA-59pp-r3rg-353g / CVE-2025-67746)
      * Fixed `COMPOSER_NO_SECURITY_BLOCKING` env var not being respected for `updates` done via the `install`     command, and added `--no-security-blocking` flag to `install` as well (#12677)
      * Fixed `update --lock` / `update mirrors` not working when locked packages contain vulnerabilities     (#12645)
      * Fixed `client-certificate` authentication implementation (#12667)
      * Fixed `php-ext` schema not being validated in ValidatingArrayLoader (#12694)
      * Fixed crash when `--bump-after-update` is used and the lock file is disabled (#12660)
      * Fixed support for SecureTransport + LibreSSL on macOS (#12615)
      * Fixed display of reasons for why advisories are ignored (#12668)
      * Fixed compatibility issues when git has log.showSignature enabled (#12666)
      * Fixed curl downloader not retrying when a timeout (err 28) failure occurs (#12662)
      * Fixed EventDispatcher requiring a full Composer instance to function (#12629)



Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Composer is a dependency manager for PHP. In versions on the 2.x branch prior to 2.2.26 and 2.9.3,     attackers controlling remote sources that Composer downloads from might in some way inject ANSI control     characters in the terminal output of various Composer commands, causing mangled output and potentially     leading to confusion or DoS of the terminal application. There is no proven exploit and this has thus a     low severity but we still publish a CVE as it has potential for abuse, and we want to be on the safe side     informing users that they should upgrade. Versions 2.2.26 and 2.9.3 contain a patch for the issue.
    (CVE-2025-67746)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Fedora 42 host has a package installed that is affected by a vulnerability as referenced in the FEDORA-2026-13b4dbe546 advisory.

    ### Version 2.9.3 -  2025-12-30

      * Security: Fixed ANSI sequence injection (GHSA-59pp-r3rg-353g / CVE-2025-67746)
      * Fixed `COMPOSER_NO_SECURITY_BLOCKING` env var not being respected for `updates` done via the `install`     command, and added `--no-security-blocking` flag to `install` as well (#12677)
      * Fixed `update --lock` / `update mirrors` not working when locked packages contain vulnerabilities     (#12645)
      * Fixed `client-certificate` authentication implementation (#12667)
      * Fixed `php-ext` schema not being validated in ValidatingArrayLoader (#12694)
      * Fixed crash when `--bump-after-update` is used and the lock file is disabled (#12660)
      * Fixed support for SecureTransport + LibreSSL on macOS (#12615)
      * Fixed display of reasons for why advisories are ignored (#12668)
      * Fixed compatibility issues when git has log.showSignature enabled (#12666)
      * Fixed curl downloader not retrying when a timeout (err 28) failure occurs (#12662)
      * Fixed EventDispatcher requiring a full Composer instance to function (#12629)



Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

It is, therefore, affected by a vulnerability as referenced in the ALAS2023-2026-1365 advisory.

    Composer is a dependency manager for PHP. In versions on the 2.x branch prior to 2.2.26 and 2.9.3,     attackers controlling remote sources that Composer downloads from might in some way inject ANSI control     characters in the terminal output of various Composer commands, causing mangled output and potentially     leading to confusion or DoS of the terminal application. There is no proven exploit and this has thus a     low severity but we still publish a CVE as it has potential for abuse, and we want to be on the safe side     informing users that they should upgrade. Versions 2.2.26 and 2.9.3 contain a patch for the issue.
    (CVE-2025-67746)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:20670-1 advisory.

    - CVE-2025-67746: ANSI control characters injection in terminal output of various Composer commands via     attacker       controlled remote sources (bsc#1255768).
    - CVE-2026-40176: arbitrary command injection via malicious Perforce repository definition (bsc#1262254).
    - CVE-2026-40261: arbitrary command injection via malicious Perforce source reference/url (bsc#1262255).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 host has a package installed that is affected by a vulnerability as referenced in the SUSE-SU-2026:0825-1 advisory.

    CVE-2025-67746: Fixed ANSI control characters injection in the terminal output of various Composer     commands via attacker controlled remote sources. (bsc#1255768)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
296225	Amazon Linux 2023：composer (ALAS2023-2026-1365)	Nessus	Amazon Linux Local Security Checks	2026/1/23	2026/3/2	medium
280698	Linux Distros 未修補的弱點：CVE-2025-67746	Nessus	Misc.	2025/12/30	2026/4/29	medium
280698	Linux Distros 未修补的漏洞：CVE-2025-67746	Nessus	Misc.	2025/12/30	2026/4/29	medium
296225	Amazon Linux 2023：composer (ALAS2023-2026-1365)	Nessus	Amazon Linux Local Security Checks	2026/1/23	2026/3/2	medium
283573	Fedora 43composer2026-0b03072979	Nessus	Fedora Local Security Checks	2026/1/13	2026/3/2	medium
280698	Linux Distros のパッチ未適用の脆弱性: CVE-2025-67746	Nessus	Misc.	2025/12/30	2026/4/29	medium
301280	SUSE SLES15 / openSUSE 15 のセキュリティ更新 : php-composer2 (SUSE-SU-2026:0825-1)	Nessus	SuSE Local Security Checks	2026/3/6	2026/3/6	medium
283686	Fedora 42composer2026-13b4dbe546	Nessus	Fedora Local Security Checks	2026/1/14	2026/3/2	medium
296225	Amazon Linux 2023 : composer (ALAS2023-2026-1365)	Nessus	Amazon Linux Local Security Checks	2026/1/23	2026/3/2	medium
313630	openSUSE 16 セキュリティ更新:php-composer2(openSUSE-SU-2026:20670-1)	Nessus	SuSE Local Security Checks	2026/5/10	2026/5/10	medium
283573	Fedora 43 : composer (2026-0b03072979)	Nessus	Fedora Local Security Checks	2026/1/13	2026/3/2	medium
280698	Linux Distros Unpatched Vulnerability : CVE-2025-67746	Nessus	Misc.	2025/12/30	2026/4/29	medium
283686	Fedora 42 : composer (2026-13b4dbe546)	Nessus	Fedora Local Security Checks	2026/1/14	2026/3/2	medium
296225	Amazon Linux 2023 : composer (ALAS2023-2026-1365)	Nessus	Amazon Linux Local Security Checks	2026/1/23	2026/3/2	medium
313630	openSUSE 16 Security Update : php-composer2 (openSUSE-SU-2026:20670-1)	Nessus	SuSE Local Security Checks	2026/5/10	2026/5/10	medium
301280	SUSE SLES15 / openSUSE 15 Security Update : php-composer2 (SUSE-SU-2026:0825-1)	Nessus	SuSE Local Security Checks	2026/3/6	2026/3/6	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium