P3 · Modérée · Composer

Composer : exécution de code à distance — corrigée en 2.10.3, 2.2.30

composer/composer : Composer: GHSA-gjfg-22fp-rrxx fix bypass via symlinked package bin path

P3Modérée

Cycle de mise à jour mensuel

Pourquoi ce niveau : Gravité modérée (6,1 sur 10).

Sans authentificationCVSS 6,1

Ce qu'il faut faire

Vérifier si vous êtes concerné

Versions ou systèmes touchés :
>=1.0,<2.2.30|>=2.3.0,<2.10.3
composer/composer >= 2.3.0, < 2.10.3
composer/composer >= 1.0, < 2.2.30
```
composer --version
```
Corriger

Versions corrigées : 2.10.3, 2.2.30.
Mettre à jour Composer lui-même.
```
composer self-update
```
En attendant le correctif

Éviter d'exécuter Composer sur des dépôts ou des paquets non fiables en attendant.
Contrôler

composer --version doit afficher la version corrigée.

Commandes indicatives (Debian ou Ubuntu) : à adapter à chaque serveur, après sauvegarde.

Composer: GHSA-gjfg-22fp-rrxx fix bypass via symlinked package bin path

Composer

2.10.3, 2.2.30

2 oct. 2026, 21:14 Packagist — avis de sécurité Composer composer/composer : Composer: GHSA-gjfg-22fp-rrxx fix bypass via symlinked package bin path
2 oct. 2026, 21:14 GitHub Advisory Database — Composer et npm Composer: GHSA-gjfg-22fp-rrxx fix bypass via symlinked package bin path