Der Abschnitt „repositories“ in der composer.json schaut komisch aus (unter „url“ sollte eine echte Adresseund nicht nur Pseudo-Zugangsdaten stehen):
Wo kommt das her? Probiere mal, das zu entfernen und lass das composer Update dann noch mal laufen.