friendsofoxid/security-advisories-plugins

Security advisory metapackage for plugins in OXID eShop projects

1.0.0 2026-04-16 10:17 UTC

Conflicts

• endereco/endereco-oxid6-client: >=4.0 <=4.5.4
• fatchip-gmbh/oxid-klarna-6: >=5.0 <=5.8.1
• fatchip-gmbh/oxid-klarna-7: >=1.0 <=1.3.0
• fatchip-gmbh/plugin-oxid7-stats: >=1.0 <=1.1.6
• oxid-esales/amazon-pay-module: >=1.0 <=1.6.1 || >=2.0 <=2.1.8 || >=3.0 <=3.1.7
• oxid-esales/stripe-module: >=1.0 <=1.0.7 || >=2.0 <=2.0.3
• oxid-esales/unzer: >=1.0 <=1.2.7 || >=2.0 <=2.2.5
• oxid-professional-services/easycredit-module: >=3.0 <=3.0.9 || >=4.0 <=4.0.1
• oxid-solution-catalysts/adyen-module: >=1.0 <=1.1.10 || >=2.0 <=2.1.8
• oxid-solution-catalysts/paypal-module: >=2.0 <=2.8.1 || >=3.0 <=3.7.1
• payone-gmbh/oxid-6: >=1.0 <=1.13.0
• payone-gmbh/oxid-7: >=1.0 <=1.3.0

MIT

• D3 team

README

Zentrales Security-Metapackage zur Vermeidung bekannter verwundbarer Composer-Abhängigkeiten in OXID-Projekten.

Dieses Paket definiert conflict-Regeln für unsichere Paketversionen und verhindert deren Installation oder Aktualisierung.

Zweck

• Schutz vor bekannten Sicherheitslücken in Drittanbieter-Paketen
• Zentrale Pflege durch die Agentur
• Automatische Durchsetzung bei composer update

Installation

composer require friendsofoxid/security-advisories

Vulnerability Check

Zur Prüfung, ob ein Projekt verwundbare Abhängigkeiten enthält, kann ein Dry-Run verwendet werden:

composer update --dry-run --with-all-dependencies || exit 1

Verhalten

• Kein Konflikt → alle Abhängigkeiten gelten als unkritisch
• Konflikt erkannt → Composer bricht mit Fehlermeldung ab enthält Details zu betroffenen Paketen und Versionen

Funktionsweise

Das Paket nutzt Composer's native conflict-Mechanik:

• Verwundbare Versionen werden explizit ausgeschlossen
• Der Dependency Resolver verhindert deren Installation
• Auch indirekte (transitive) Abhängigkeiten werden berücksichtigt

Update-Strategie

Da neue Sicherheitslücken laufend ergänzt werden:

composer update friendsofoxid/security-advisories

Empfohlen:

• regelmäßige Updates (z. B. im Rahmen normaler Wartung)
• Integration in CI/CD-Pipelines

Einschränkungen

• Erkennt Probleme nur beim Dependency-Resolving
• Kein Ersatz für Laufzeit-Sicherheitsprüfungen
• Bestehende Installationen werden erst beim nächsten update geprüft

Empfehlung

Für maximale Sicherheit:

• Kombination mit composer audit
• regelmäßige Dependency-Updates
• optionaler automatisierter Check in CI