GHSA-rvx4-ffvw-m9q3

Composer の Perforce ソース処理におけるコマンドインジェクション脆弱性。パッケージの source.url は p4 クライアントへ P4PORT として渡されるが、Perforce の rsh: / jsh: エンドポイントはネットワーク接続ではなく指定されたコマンドをローカルプロセスとして起動する機能を持つ。そのため、悪意ある Composer リポジトリが source.type=perforce と細工した source.url を持つパッケージメタデータを配布すると、ソースからのインストール時に任意コマンドが実行される可能性があった。Composer 2.10.3 および 2.2.30 では Perforce URL をネットワークエンドポイント形式に限定し、rsh: / jsh: を拒否する検証が追加された。