CVE-2026-100369 in CliInvoke
Riassunto
di VulDB • 25/09/2026
CliInvoke e il suo precedente nome di pacchetto `AlastairLundy.CliInvoke` sono librerie .NET per l'invocazione di programmi della riga di comando e per la gestione dei processi eseguibili. Le versioni 2.0.0 attraverso 2.8.4, 2.9.0 attraverso 2.9.3, 2.10.0 attraverso 2.10.4 e 3.0.0-alpha.1 through 3.0.0-beta.1 di `CliInvoke`, nonché le versioni 2.0.0-alpha.1 through 2.0.0 di `AlastairLundy.CliInvoke`, presentano una vulnerabilità di injection degli argomenti in `RunnerProcessFactory` sulla linea 2.x e in `RunnerConfigurationFactory` sulla linea 3.x. Questi factory combinano gli argomenti del runner, un target controllato dal chiamante e argomenti controllati dal chiamante in una singola stringa `ProcessStartInfo.Arguments`, consentendo a una doppia virgoleta nel target o in un argomento di terminare una regione quotata a livello di sistema operativo e di iniettare elementi non previsti nel vettore degli argomenti del runner, potenzialmente risultando nell'esecuzione arbitraria di comandi quando viene utilizzato un shell runner. La vulnerabilità è risolta nelle versioni 2.8.5, 2.9.4, 2.10.5 e 3.0.0-beta.2 di `CliInvoke`, e nella versione 2.0.2 di `AlastairLundy.CliInvoke`. Non esiste una soluzione alternativa completa; gli utenti che non possono effettuare l'aggiornamento possono mitigare parzialmente il problema rimuovendo le doppie virgolette dai target e dagli argomenti, rimuovendo inoltre i metacaratteri della shell quando si utilizzano shell runner, oppure bypassando il factory vulnerabile e costruendo un `ProcessConfiguration` con una `ArgumentList` esplicita.
If you want to get best quality of vulnerability data, you may have to visit VulDB.