Heimdall Security Logo

CVE-2026-45793

Vulnérabilité élevée dans composer (composer)

CVSS 7.5 · Élevée
EPSS 1.0%
composer•composer•Versions : >= 1.0, < 1.10.28, >= 2.3.0, < 2.9.8, >= 2.0.0, < 2.2.28

Description

Composer is a dependency Manager for the PHP language. Prior to 1.10.28, 2.2.28, and 2.9.8, Composer\IO\BaseIO::loadConfiguration() validates GitHub OAuth tokens with the regex ^[.A-Za-z0-9_]+$ and interpolates rejected tokens into an UnexpectedValueException; GitHub Actions GITHUB_TOKEN values using the ghs_<id>_<base64url-JWT> format can contain -, fail validation, and be disclosed to stderr or CI logs. This issue is fixed in versions 1.10.28, 2.2.28, and 2.9.8.

Gravité et risque d'exploitation

CVE-2026-45793 obtient un score CVSS de 7.5/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 1.02 %, ce qui la place devant 62.8 % des CVE référencées.

Que faire ?

  • Vérifiez si composer (versions >= 1.0, < 1.10.28, >= 2.3.0, < 2.9.8, >= 2.0.0, < 2.2.28) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE