Composer 2.10.3公開、複数の脆弱性を修正
Composer 2.10.3では、シンボリックリンクを使ったパストラバーサルや悪意のあるPerforce URLによるコマンドインジェクション、GitLab URLの照合不備による認証情報漏えいの可能性など、複数のセキュリティ問題を修正しました。あわせて、PHP 8.6の非推奨警告、ロックファイルや並列実行時のディレクトリ作成、Forgejo対応などに関する不具合も修正しています。
Web・ITの仕事に影響する
アップデート情報をまとめてチェック
SaaSや各種サービスの新機能・仕様変更・料金改定・サービス終了・障害・セキュリティ情報など、Web・ITの仕事に関わるアップデート情報を分かりやすくお届けします。
絞り込み中
composer 条件をリセット
アップデート情報
Composer 2.2.30、複数のセキュリティ問題を修正
Composer 2.2.30では、シンボリックリンクを使ったパス・トラバーサル、悪意のあるPerforce URLによるコマンドインジェクション、URLに埋め込まれたユーザー名やトークンの不適切な処理を修正しました。GitLab URLの照合も見直し、誤ったドメインへの認証情報漏えいを防止しています。
Composer 2.10.2公開、複数の脆弱性を修正
Composer 2.10.2では、パッケージ名やバイナリーパスの検証、URLに埋め込まれた認証情報の出力抑制、pharメタデータの安全性確保など、複数のセキュリティ問題を修正しました。自動更新時の警告表示やGitHubからのダウンロード再試行、監査結果の標準出力なども追加・修正されています。
Composer 2.2.29をリリース、複数の脆弱性を修正
Composer 2.2.29では、パッケージ名やバイナリーパスの検証、リダイレクト処理、pharメタデータのデシリアライズ、HTTPレスポンスのJSON解析エラーなどに関する複数のセキュリティ問題を修正しました。詳細な出力に含まれるユーザー名やトークンのサニタイズ、GitHubトークン検証の改善も行われています。
Composer 2.10.1を公開、エディター起動などの脆弱性を修正
Composer 2.10.1では、エディター起動時のシェルエスケープ処理と、self-update --rollbackで復元するバックアップpharの署名検証に関するセキュリティ問題を修正しました。あわせて、source／distインストール、Gitの変更確認、GitHubトークンの再入力、Composerリポジトリの警告表示に関する不具合も修正しています。
Composer 2.10.0を公開、依存関係のマルウェア対策を強化
Composer 2.10.0では、マルウェアが検出されたパッケージのバージョンをブロックする依存関係ポリシーを追加し、URLの出力フィルタリングやURL検証、Git認証情報、暗号方式などのセキュリティ対策を強化しました。配布ファイルの取得失敗時にソースへ自動フォールバックする挙動は無効化され、監査コマンドの終了コードも変更されています。
Composer 2.10.0-RC2を公開、セキュリティ設定を追加
Composer 2.10.0-RC2がリリース候補として公開されました。セキュリティ関連の更新・インストール・監査ポリシーを一括管理する設定ブロックを追加し、インストール時のマルウェアパッケージのブロックを既定で有効化したほか、回帰バグの修正やクラスマップ生成性能の改善を行っています。
Composer 2.9.8、GitHubトークンの検証・漏えい問題を修正
Composer 2.9.8では、GitHubトークンの検証および漏えいに関する脆弱性（GHSA-f9f8-rm49-7jv2／CVE-2026-45793）が修正されました。
Composer 1.10.28、GitHubトークン検証・漏えいの脆弱性を修正
Composer 1.10.28で、GitHubトークンの検証および漏えいに関する脆弱性を修正しました。対象の脆弱性にはGHSA-f9f8-rm49-7jv2およびCVE-2026-45793が割り当てられています。
Composer 2.2.28、GitHubトークンの検証・漏えい問題を修正
Composer 2.2.28では、GitHubトークンの検証不備と漏えいに関するセキュリティ問題を修正しました。GHSA-f9f8-rm49-7jv2およびCVE-2026-45793に該当します。