CVE-2026-100368 in CliInvoke.Specializations
الملخص
بحسب VulDB • 25/09/2026
CliInvoke هو مكتبة .NET لاستدعاء برامج سطر الأوامر، وتوفر حزم `CliInvoke.Specializations` الخاصة به أغطية متخصصة لأشكال shells مثل PowerShell وموجه أوامر Windows (Command Prompt). تحتوي الإصدارات 2.2.0 حتى 2.8.4، و2.9.0 حتى 2.9.3، و2.10.0 حتى 2.10.4، و3.0.0-alpha.1 حتى 3.0.0-alpha.4، بالإضافة إلى الإصدارات من 3.0.0-alpha.8 حتى 3.0.0-alpha.10 لـ `CliInvoke.Specializations`، وكذلك الإصدارات من 1.0.0-rc.1 حتى 1.6.1.1 لـ `AlastairLundy.CliInvoke.Specializations` على ثغرة حقن أوامر نظام التشغيل (OS command injection) في أغطية PowerShell وCmd الخاصة بها. تقوم هذه الأغطية بتمرير هدف وتحكمات يتحكم فيها المتصل إلى `pwsh -Command` أو `cmd /c` باستخدام سلسلة واحدة من `ProcessStartInfo.Arguments`، مما يسمح لعلامة اقتباس مزدوجة ("") موجودة في مدخلات غير موثوقة بكسر التهجئة على مستوى نظام التشغيل وتسبب تشغيل shell لأمر إضافي بصلاحيات العملية المستضيفة. تم إصلاح الثغرة في الإصدارات 2.8.5 و2.9.4 و2.10.5 من `CliInvoke.Specializations`، وفي الإصدار 2.0.2 من `AlastairLundy.CliInvoke.Specializations`. لا يوجد حل بديل كامل متاح؛ وينبغي للمستخدمين الذين لا يستطيعون الترقية رفض أو إزالة علامات الاقتباس المزدوجة ("") من مسارات الأهداف والتحليلات (arguments)، بالإضافة إلى رفض أحرف shell الخاصة في الإصدارات 2.2.0 حتى 2.9.2 و3.0.0-alpha.1 حتى 3.0.0-alpha.4، أو تجاوز أغطية PowerShell وCmd واستدعاء العمليات المستهدفة مباشرة عند التعامل مع مدخلات غير موثوقة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.