Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Composer 是 PHP 的依存关系管理器。版本 1.0 到 2.2.26 和 2.3 到 2.9.5 方法中包含一个命令注入漏洞Perforce::syncCodeBase() 会在未正确转义的情况下将 $sourceReference 参数附加至 shell 命令此外 Perforce::generateP4Command( GHSA-wg36-wvj6-r67p / CVE-2026-40176中中的 方法该方法从源 url 字段中插值用户提供的 Perforce 连接参数端口、用户、客户端而无需正确转义。即使未安装 Perforce攻击者可通过构建的源引用或包含 shell 元字符的源 url 值注入任意命令。与 CVE-2026-40176不同的是来源引用和 url 是作为程序包元数据的一部分提供的这意味着任何遭到破坏或恶意的 Composer 存储库均可将程序包元数据声明为 perforce 为含有恶意值的来源类型。从来源安装或更新依存关系包括安装带有 dev 前缀的版本时的默认行为时这一漏洞遭到利用。此问题已在 Composer 2.2.27 (2.2 LTS) 和 2.9.6 (mainline) 中修复。变通方案为如果开发人员无法立即更新他们可使用 --prefer-dist 或 forced-install: dist config 设置来避免安装来源的依存关系并且仅使用受信任的 Composer 存储库。 (CVE-2026-40261)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

因此，它會受到 ALAS2023-2026-1625 公告中所提及的多個弱點影響。

    透過惡意 Perforce 存放庫定義的命令插入 (CVE-2026-40176)

    透過惡意 Perforce 來源參照/url 插入命令 (CVE-2026-40261)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，该软件受到 ALAS2023-2026-1625 公告中提及的多个漏洞影响。

    通过恶意 Perforce 存储库定义的命令注入 (CVE-2026-40176)

    通过恶意 Perforce 源引用/url 的命令注入 (CVE-2026-40261)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Composer 是 PHP 的相依性管理員。版本 1.0 至 2.2.26 和 2.3 至 2.9.5 中的 Perforce::syncCodeBase() 方法有一個命令插入弱點可在沒有適當逸出的情況下將 $sourceReference 參數附加至 shell 命令此外在 Perforce::generateP4Command( ) 方法如 GHSA-wg36-wvj6-r67p / CVE-2026-40176其會在未正確逸出的情況下從來源 url 欄位插入使用者提供的 Perforce 連線參數 (連接埠、使用者、用戶端)。攻擊者可透過特製來源參照或包含 shell 詮釋字元的來源 URL 值插入任意命令即使未安裝 Perforce。與 CVE-2026-40176不同該來源參照和 url 是套件中繼資料的一部分這表示任何遭入侵或惡意的 Composer 存放庫皆可提供宣告 perforce 為具有惡意值之來源類型的套件中繼資料。從來源安裝或更新相依性包括安裝 dev-prefixed 版本時的預設行為時此弱點會遭到惡意利用。此問題已在 Composer 2.2.27 (2.2 LTS) 和 2.9.6 (主線) 中修正。如果開發人員無法立即更新他們可以使用 --prefer-dist 或preferred-install: dist config 設定避免從來源安裝相依性而僅使用受信任的 Composer 存放庫作為因應措施。 (CVE-2026-40261)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

リモートの Fedora 43 ホストには、FEDORA-2026-02c1f66b6a のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ### バージョン 2.9.7 - 2026 年 4 月 14 日

    * composer コマンドのサブストリングと呼ばれるカスタムスクリプトコマンドエイリアスを呼び出す回帰を修正します (#12802)

    ----

    ### バージョン 2.9.6 - 2026 年 4 月 14 日

      * セキュリティ: 悪意のある Perforce 参照によるコマンドインジェクションを修正しました (GHSA-gqw4-4w2p-838q /
    **CVE-2026-40261**)
      * セキュリティ: 悪意のある Perforce リポジトリ定義によるコマンドインジェクションを修正しました (GHSA-wg36-wvj6-r67p /
    **CVE-2026-40176**)
      * セキュリティ: 複製または更新に失敗した後に git ミラー .git/config に残る git 認証情報を修正しました (2bcbfc3d)
      * セキュリティ: ext-curl がない場合の安全でない 3DES 暗号の使用を修正しました (5e71d77e)
      * セキュリティ: queryP4User シェルコマンドにおける Perforce のエスケープされていないユーザー入力を修正しました (ef3fc088)
      * セキュリティ: git/hg/perforce/fossil 識別子検証を強化し、「-」で始まるブランチ名が問題を引き起こさないようにしました (6621d45、d836b90、5e08c764)
      * SingleCommandApplication スクリプトコマンド wrt 自動ロードの一貫性のない処理を修正しました (#12758)
      * GitHub API 認証エラーがユーザーに表示されない問題を修正しました (#12737)
      * Composer を Web SAPI で実行する際に発生する、一部のプラットフォームパッケージの解析失敗を修正しました (#12735)
      * 制約を解析できない場合のエラーレポートをより分かりやすく修正しました (#12743)


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、7a7a17b2-381c-11f1-a663-10ffe07f9334 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Composer プロジェクトによる報告:
    悪意のある Perforce 参照を通じたコマンドインジェクションを修正しました (GHSA-gqw4-4w2p-838q / CVE-2026-40261) 悪意のある Perforce リポジトリ定義を通じたコマンドインジェクションを修正しました (GHSA-wg36-wvj6-r67p / CVE-2026-40176)

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2026-1625 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    悪意のある Perforce リポジトリ定義によるコマンドインジェクション (CVE-2026-40176)

    悪意のある Perforce ソース参照/url によるコマンドインジェクション (CVE-2026-40261)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 42 ホストには、FEDORA-2026-d91f313a63 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ### バージョン 2.9.7 - 2026 年 4 月 14 日

    * composer コマンドのサブストリングと呼ばれるカスタムスクリプトコマンドエイリアスを呼び出す回帰を修正します (#12802)

    ----

    ### バージョン 2.9.6 - 2026 年 4 月 14 日

      * セキュリティ: 悪意のある Perforce 参照によるコマンドインジェクションを修正しました (GHSA-gqw4-4w2p-838q /
    **CVE-2026-40261**)
      * セキュリティ: 悪意のある Perforce リポジトリ定義によるコマンドインジェクションを修正しました (GHSA-wg36-wvj6-r67p /
    **CVE-2026-40176**)
      * セキュリティ: 複製または更新に失敗した後に git ミラー .git/config に残る git 認証情報を修正しました (2bcbfc3d)
      * セキュリティ: ext-curl がない場合の安全でない 3DES 暗号の使用を修正しました (5e71d77e)
      * セキュリティ: queryP4User シェルコマンドにおける Perforce のエスケープされていないユーザー入力を修正しました (ef3fc088)
      * セキュリティ: git/hg/perforce/fossil 識別子検証を強化し、「-」で始まるブランチ名が問題を引き起こさないようにしました (6621d45、d836b90、5e08c764)
      * SingleCommandApplication スクリプトコマンド wrt 自動ロードの一貫性のない処理を修正しました (#12758)
      * GitHub API 認証エラーがユーザーに表示されない問題を修正しました (#12737)
      * Composer を Web SAPI で実行する際に発生する、一部のプラットフォームパッケージの解析失敗を修正しました (#12735)
      * 制約を解析できない場合のエラーレポートをより分かりやすく修正しました (#12743)



Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-1140c02041 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ### バージョン 2.9.7 - 2026 年 4 月 14 日

    * composer コマンドのサブストリングと呼ばれるカスタムスクリプトコマンドエイリアスを呼び出す回帰を修正します (#12802)

    ----

    ### バージョン 2.9.6 - 2026 年 4 月 14 日

      * セキュリティ: 悪意のある Perforce 参照によるコマンドインジェクションを修正しました (GHSA-gqw4-4w2p-838q /
    **CVE-2026-40261**)
      * セキュリティ: 悪意のある Perforce リポジトリ定義によるコマンドインジェクションを修正しました (GHSA-wg36-wvj6-r67p /
    **CVE-2026-40176**)
      * セキュリティ: 複製または更新に失敗した後に git ミラー .git/config に残る git 認証情報を修正しました (2bcbfc3d)
      * セキュリティ: ext-curl がない場合の安全でない 3DES 暗号の使用を修正しました (5e71d77e)
      * セキュリティ: queryP4User シェルコマンドにおける Perforce のエスケープされていないユーザー入力を修正しました (ef3fc088)
      * セキュリティ: git/hg/perforce/fossil 識別子検証を強化し、「-」で始まるブランチ名が問題を引き起こさないようにしました (6621d45、d836b90、5e08c764)
      * SingleCommandApplication スクリプトコマンド wrt 自動ロードの一貫性のない処理を修正しました (#12758)
      * GitHub API 認証エラーがユーザーに表示されない問題を修正しました (#12737)
      * Composer を Web SAPI で実行する際に発生する、一部のプラットフォームパッケージの解析失敗を修正しました (#12735)
      * 制約を解析できない場合のエラーレポートをより分かりやすく修正しました (#12743)



Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Composer は、PHP の依存関係マネージャーです。バージョン 1.0 から 2.2.26 および 2.3 から 2.9.5 には、Perforce::syncCodeBase() メソッドにコマンドインジェクションの脆弱性があり、 $sourceReference パラメーターを適切なエスケープなしでシェルコマンドに追加します。また、Perforce::generateP4Command(適切なエスケープなしで、ソース URL フィールドからユーザー指定の Perforce 接続パラメーターポート、ユーザー、クライアント CVE-2026-40176を補間します。攻撃者は、Perforce がインストールされていない場合でも、シェルメタ文字を含む細工されたソース参照またはソース URL の値を介して、任意のコマンドを注入することができます。 CVE-2026-40176とは異なり、ソースの参照と URL がパッケージメタデータの一部として提供されます。つまり、侵害されている、または悪意のある Composer リポジトリが、悪意のある値を持つソースタイプとして宣言するパッケージメタデータを提供することが可能です。この脆弱性は、dev-prefixed バージョンをインストールするときのデフォルト動作を含めて、ソースからの依存関係をインストールまたは更新するときに悪用可能です。この問題は Composer 2.2.272.2 LTSおよび 2.9.6 メインラインで修正されています。開発者はすぐに更新できない場合は、 --prefer-dist またはpreferred-install: dist config 設定を使用してソースからの依存関係のインストールを回避し、信頼できる Composer リポジトリのみを回避策として使用することができます。CVE-2026-40261

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote Fedora 42 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-d91f313a63 advisory.

    ### Version 2.9.7 - 2026-04-14

    * Fixes regression calling custom script command aliases that are called a substring of a composer command     (#12802)

    ----

    ### Version 2.9.6 -  2026-04-14

      * Security: Fixed command injection via malicious Perforce reference (GHSA-gqw4-4w2p-838q /
    **CVE-2026-40261**)
      * Security: Fixed command injection via malicious Perforce repository definition (GHSA-wg36-wvj6-r67p /
    **CVE-2026-40176**)
      * Security: Fixed git credentials remaining in git mirror .git/config after clone or update failed     (2bcbfc3d)
      * Security: Fixed usage of insecure 3DES ciphers when ext-curl is missing (5e71d77e)
      * Security: Fixed Perforce unescaped user input in queryP4User shell command (ef3fc088)
      * Security: Hardened git/hg/perforce/fossil identifier validation to ensure branch names starting with     `-` do not cause issues (6621d45, d836b90, 5e08c764)
      * Fixed inconsistent treatment of SingleCommandApplication script commands wrt autoloading (#12758)
      * Fixed GitHub API authentication errors not being visible to the user (#12737)
      * Fixed some platform package parsing failing when Composer runs in web SAPIs (#12735)
      * Fixed error reporting for clarity when a constraint cannot be parsed (#12743)



Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 44 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-1140c02041 advisory.

    ### Version 2.9.7 - 2026-04-14

    * Fixes regression calling custom script command aliases that are called a substring of a composer command     (#12802)

    ----

    ### Version 2.9.6 -  2026-04-14

      * Security: Fixed command injection via malicious Perforce reference (GHSA-gqw4-4w2p-838q /
    **CVE-2026-40261**)
      * Security: Fixed command injection via malicious Perforce repository definition (GHSA-wg36-wvj6-r67p /
    **CVE-2026-40176**)
      * Security: Fixed git credentials remaining in git mirror .git/config after clone or update failed     (2bcbfc3d)
      * Security: Fixed usage of insecure 3DES ciphers when ext-curl is missing (5e71d77e)
      * Security: Fixed Perforce unescaped user input in queryP4User shell command (ef3fc088)
      * Security: Hardened git/hg/perforce/fossil identifier validation to ensure branch names starting with     `-` do not cause issues (6621d45, d836b90, 5e08c764)
      * Fixed inconsistent treatment of SingleCommandApplication script commands wrt autoloading (#12758)
      * Fixed GitHub API authentication errors not being visible to the user (#12737)
      * Fixed some platform package parsing failing when Composer runs in web SAPIs (#12735)
      * Fixed error reporting for clarity when a constraint cannot be parsed (#12743)



Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Composer is a dependency manager for PHP. Versions 1.0 through 2.2.26 and 2.3 through 2.9.5 contain a     command injection vulnerability in the Perforce::syncCodeBase() method, which appends the $sourceReference     parameter to a shell command without proper escaping, and additionally in the     Perforce::generateP4Command() method as in GHSA-wg36-wvj6-r67p / CVE-2026-40176, which interpolates user-     supplied Perforce connection parameters (port, user, client) from the source url field without proper     escaping. An attacker can inject arbitrary commands through crafted source reference or source url values     containing shell metacharacters, even if Perforce is not installed. Unlike CVE-2026-40176, the source     reference and url are provided as part of package metadata, meaning any compromised or malicious Composer     repository can serve package metadata declaring perforce as a source type with malicious values. This     vulnerability is exploitable when installing or updating dependencies from source, including the default     behavior when installing dev-prefixed versions. This issue has been fixed in Composer 2.2.27 (2.2 LTS) and     2.9.6 (mainline). If developers are unable to immediately update, they can avoid installing dependencies     from source by using --prefer-dist or the preferred-install: dist config setting, and only use trusted     Composer repositories as a workaround. (CVE-2026-40261)

Note that Nessus relies on the presence of the package as reported by the vendor.

The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by multiple vulnerabilities as referenced in the 7a7a17b2-381c-11f1-a663-10ffe07f9334 advisory.

    Composer project reports:
    Fixed command injection via malicious Perforce reference (GHSA-gqw4-4w2p-838q / CVE-2026-40261)     Fixed command injection via malicious Perforce repository definition (GHSA-wg36-wvj6-r67p /     CVE-2026-40176)

Tenable has extracted the preceding description block directly from the FreeBSD security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2023-2026-1625 advisory.

    Command injection via malicious Perforce repository definition (CVE-2026-40176)

    Command injection via malicious Perforce source reference/url (CVE-2026-40261)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 43 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-02c1f66b6a advisory.

    ### Version 2.9.7 - 2026-04-14

    * Fixes regression calling custom script command aliases that are called a substring of a composer command     (#12802)

    ----

    ### Version 2.9.6 -  2026-04-14

      * Security: Fixed command injection via malicious Perforce reference (GHSA-gqw4-4w2p-838q /
    **CVE-2026-40261**)
      * Security: Fixed command injection via malicious Perforce repository definition (GHSA-wg36-wvj6-r67p /
    **CVE-2026-40176**)
      * Security: Fixed git credentials remaining in git mirror .git/config after clone or update failed     (2bcbfc3d)
      * Security: Fixed usage of insecure 3DES ciphers when ext-curl is missing (5e71d77e)
      * Security: Fixed Perforce unescaped user input in queryP4User shell command (ef3fc088)
      * Security: Hardened git/hg/perforce/fossil identifier validation to ensure branch names starting with     `-` do not cause issues (6621d45, d836b90, 5e08c764)
      * Fixed inconsistent treatment of SingleCommandApplication script commands wrt autoloading (#12758)
      * Fixed GitHub API authentication errors not being visible to the user (#12737)
      * Fixed some platform package parsing failing when Composer runs in web SAPIs (#12735)
      * Fixed error reporting for clarity when a constraint cannot be parsed (#12743)


Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:20670-1 advisory.

    - CVE-2025-67746: ANSI control characters injection in terminal output of various Composer commands via     attacker       controlled remote sources (bsc#1255768).
    - CVE-2026-40176: arbitrary command injection via malicious Perforce repository definition (bsc#1262254).
    - CVE-2026-40261: arbitrary command injection via malicious Perforce source reference/url (bsc#1262255).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
306564	Linux Distros 未修补的漏洞：CVE-2026-40261	Nessus	Misc.	2026/4/15	2026/4/29	high
311337	Amazon Linux 2023：composer (ALAS2023-2026-1625)	Nessus	Amazon Linux Local Security Checks	2026/4/30	2026/4/30	high
311337	Amazon Linux 2023：composer (ALAS2023-2026-1625)	Nessus	Amazon Linux Local Security Checks	2026/4/30	2026/4/30	high
306564	Linux Distros 未修補的弱點：CVE-2026-40261	Nessus	Misc.	2026/4/15	2026/4/29	high
306621	Fedora 43 : composer (2026-02c1f66b6a)	Nessus	Fedora Local Security Checks	2026/4/16	2026/4/17	high
306638	FreeBSD : PHP Composer -- 複数の脆弱性 (7a7a17b2-381c-11f1-a663-10ffe07f9334)	Nessus	FreeBSD Local Security Checks	2026/4/16	2026/4/17	high
311337	Amazon Linux 2023 : composer (ALAS2023-2026-1625)	Nessus	Amazon Linux Local Security Checks	2026/4/30	2026/4/30	high
309858	Fedora 42 : composer (2026-d91f313a63)	Nessus	Fedora Local Security Checks	2026/4/23	2026/4/23	high
310220	Fedora 44 : composer (2026-1140c02041)	Nessus	Fedora Local Security Checks	2026/4/25	2026/4/25	high
306564	Linux Distros のパッチ未適用の脆弱性: CVE-2026-40261	Nessus	Misc.	2026/4/15	2026/4/29	high
309858	Fedora 42 : composer (2026-d91f313a63)	Nessus	Fedora Local Security Checks	2026/4/23	2026/4/23	high
310220	Fedora 44 : composer (2026-1140c02041)	Nessus	Fedora Local Security Checks	2026/4/25	2026/4/25	high
306564	Linux Distros Unpatched Vulnerability : CVE-2026-40261	Nessus	Misc.	2026/4/15	2026/4/29	high
306638	FreeBSD : PHP Composer -- Multiple vulnerabilities (7a7a17b2-381c-11f1-a663-10ffe07f9334)	Nessus	FreeBSD Local Security Checks	2026/4/16	2026/4/17	high
311337	Amazon Linux 2023 : composer (ALAS2023-2026-1625)	Nessus	Amazon Linux Local Security Checks	2026/4/30	2026/4/30	high
306621	Fedora 43 : composer (2026-02c1f66b6a)	Nessus	Fedora Local Security Checks	2026/4/16	2026/4/17	high
313630	openSUSE 16 Security Update : php-composer2 (openSUSE-SU-2026:20670-1)	Nessus	SuSE Local Security Checks	2026/5/10	2026/5/10	medium

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

medium