CVE-2026-100369 in CliInvoke
要約
〜によって VulDB • 2026年09月25日
CliInvokeおよびかつての名称である`AlastairLundy.CliInvoke`パッケージは、コマンドラインプログラムの呼び出しと実行可能プロセスのラップを行うための.NETライブラリです。`CliInvoke`バージョン2.0.0から2.8.4、2.9.0から2.9.3、2.10.0から2.10.4、および3.0.0-alpha.1から3.0.0-beta.1、ならびに`AlastairLundy.CliInvoke`バージョン2.0.0-alpha.1から2.0.0には、2.x系列の`RunnerProcessFactory`と3.x系列の`RunnerConfigurationFactory`において引数インジェクション脆弱性が存在します。これらのファクトリは、ランナー用引数、呼び出し元が制御可能なターゲット、および呼び出し元が制御可能な引数を1つの`ProcessStartInfo.Arguments`文字列に結合するため、ターゲットまたは引数内の二重引用符（ダブルクォート）によってOSレベルの引用符で囲まれた領域を終了させ、ランナーの引数ベクトルへ意図しない要素をインジェクトすることが可能となり、シェルランナーが使用される場合には任意のコマンド実行に至る可能性があります。この脆弱性は、`CliInvoke`バージョン2.8.5、2.9.4、2.10.5、および3.0.0-beta.2、ならびに`AlastairLundy.CliInvoke`バージョン2.0.2で修正されています。完全な回避策は提供されていませんが、アップグレードできないユーザーは、ターゲットや引数から二重引用符を削除し、シェルランナーを使用する場合はシェルのメタ文字も追加で除去するか、脆弱なファクトリをバイパスして明示的な`ArgumentList`を持つ`ProcessConfiguration`を構築することで、問題を部分的に軽減できます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.