BDU:2026-03590 (CVE-2025-67746)

Уязвимость менеджера зависимостей для PHP Composer, связанная с недостаточной нейтрализацией специальных элементов в запросе, позволяющая нарушителю выполнить произвольный код

Опубликовано: 2026-03-25

Описание

Уязвимость менеджера зависимостей для PHP Composer связана с недостаточной нейтрализацией специальных элементов в запросе. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Затрагиваемое ПО и версии

РЕД ОС (8.0)Composer (до 2.9.3)

Способ устранения

Использование рекомендаций:
https://github.com/composer/composer
https://github.com/composer/composer/commit/1d40a95c9d39a6b7f80d404ab30336c586da9917
https://github.com/composer/composer/commit/5db1876a76fdef76d3c4f8a27995c434c7a43e71
https://github.com/composer/composer/releases/tag/2.2.26
https://github.com/composer/composer/releases/tag/2.9.3
https://github.com/composer/composer/security/advisories/GHSA-59pp-r3rg-353g

Для Ред ОС:
https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-composer-cve-2025-67746-7.3/?sphrase_id=1456303

Оценка CVSS

Балл	4 — средняя опасность

Источники и патчи

https://github.com/composer/composer https://github.com/composer/composer/commit/1d40a95c9d39a6b7f80d404ab30336c586da9917 https://github.com/composer/composer/commit/5db1876a76fdef76d3c4f8a27995c434c7a43e71 https://github.com/composer/composer/releases/tag/2.2.26 https://github.com/composer/composer/releases/tag/2.9.3 https://github.com/composer/composer/security/advisories/GHSA-59pp-r3rg-353g https://nvd.nist.gov/vuln/detail/CVE-2025-67746 https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-composer-cve-2025-67746-7.3/?sphrase_id=1456303

Проверьте безопасность своего сайта и почты → Полная проверка домена