CVE-2026-100369 in CliInvoke
Zusammenfassung
von VulDB • 25.09.2026
CliInvoke und das früher als `AlastairLundy.CliInvoke` bezeichnete Paket sind .NET-Bibliotheken zum Aufrufen von Befehlszeilenprogrammen und zur Umhüllung ausführbarer Prozesse. Die Versionen 2.0.0 bis 2.8.4, 2.9.0 bis 2.9.3, 2.10.0 bis 2.10.4 sowie 3.0.0-alpha.1 bis 3.0.0-beta.1 von `CliInvoke` sowie die Versionen 2.0.0-alpha.1 bis 2.0.0 von `AlastairLundy.CliInvoke` enthalten eine Argument-Injection-Schwachstelle in `RunnerProcessFactory` auf der 2.x-Zweiglinie und in `RunnerConfigurationFactory` auf der 3.x-Zweiglinie. Diese Fabriken kombinieren Runner-Argumente, ein vom Aufrufer kontrolliertes Ziel sowie vom Aufrufer gesteuerte Argumente zu einem einzigen String für `ProcessStartInfo.Arguments`. Dies ermöglicht es, dass ein doppeltes Anführungszeichen im Ziel oder in einem Argument eine auf Betriebssystemebene geklammerte Region beendet und ungewollte Elemente in den Argumentvektor des Runners injiziert, was bei Verwendung eines Shell-Runners potenziell zu einer beliebigen Befehlsausführung (arbitrary command execution) führen kann. Die Schwachstelle wurde in `CliInvoke` Versionen 2.8.5, 2.9.4, 2.10.5 und 3.0.0-beta.2 sowie in der Version 2.0.2 von `AlastairLundy.CliInvoke` behoben. Es ist keine vollständige Umgehungslösung verfügbar; Benutzer, die kein Upgrade durchführen können, können das Problem teilweise abschwächen, indem sie doppelte Anführungszeichen aus Zielen und Argumenten entfernen, zusätzlich Shell-Metazeichen bei der Verwendung von Shell-Runnern entfernen oder den anfälligen Factory-Pfad umgehen und eine `ProcessConfiguration` mit einer expliziten `ArgumentList` erstellen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.