friendsofoxid/security-advisories-core

Security advisory metapackage for core libraries in OXID eShop projects

1.0.0 2026-04-16 10:20 UTC

Conflicts

• composer/composer: <2.2.27 || >=2.3 <=2.9.6
• doctrine/dbal: >=2 <2.0.8 || >=2.1 <2.1.1 || >=3 <3.1.4
• guzzlehttp/guzzle: <6.5.8|>=7,<7.4.5
• guzzlehttp/psr7: <1.9.1|>=2,<2.4.5
• smarty/smarty: <3.1.48 || >=4.0 <4.5.3 || >=5.0 <5.1.1
• twig/twig: <3.11.0 || >=3.12 <3.14.1 || >=3.16 <3.19.0

MIT

• D3 team

README

Zentrales Security-Metapackage zur Vermeidung bekannter verwundbarer Composer-Abhängigkeiten in OXID-Projekten.

Dieses Paket definiert conflict-Regeln für unsichere Paketversionen und verhindert deren Installation oder Aktualisierung.

Zweck

• Schutz vor bekannten Sicherheitslücken in Drittanbieter-Paketen
• Zentrale Pflege durch die Agentur
• Automatische Durchsetzung bei composer update

Installation

composer require friendsofoxid/security-advisories

Vulnerability Check

Zur Prüfung, ob ein Projekt verwundbare Abhängigkeiten enthält, kann ein Dry-Run verwendet werden:

composer update --dry-run --with-all-dependencies || exit 1

Verhalten

• Kein Konflikt → alle Abhängigkeiten gelten als unkritisch
• Konflikt erkannt → Composer bricht mit Fehlermeldung ab enthält Details zu betroffenen Paketen und Versionen

Funktionsweise

Das Paket nutzt Composer's native conflict-Mechanik:

• Verwundbare Versionen werden explizit ausgeschlossen
• Der Dependency Resolver verhindert deren Installation
• Auch indirekte (transitive) Abhängigkeiten werden berücksichtigt

Update-Strategie

Da neue Sicherheitslücken laufend ergänzt werden:

composer update friendsofoxid/security-advisories

Empfohlen:

• regelmäßige Updates (z. B. im Rahmen normaler Wartung)
• Integration in CI/CD-Pipelines

Einschränkungen

• Erkennt Probleme nur beim Dependency-Resolving
• Kein Ersatz für Laufzeit-Sicherheitsprüfungen
• Bestehende Installationen werden erst beim nächsten update geprüft

Empfehlung

Für maximale Sicherheit:

• Kombination mit composer audit
• regelmäßige Dependency-Updates
• optionaler automatisierter Check in CI