CVE-2026-100369 in CliInvoke
요약
\~에 의해 VulDB • 2026. 09. 25.
CliInvoke 및 과거 명칭인 `AlastairLundy.CliInvoke` 패키지는 명령줄 프로그램 호출과 실행 파일 프로세스 래핑을 위한 .NET 라이브러리입니다. `CliInvoke` 버전 2.0.0부터 2.8.4, 2.9.0부터 2.9.3, 2.10.0부터 2.10.4 및 3.0.0-alpha.1부터 3.0.0-beta.1까지와 `AlastairLundy.CliInvoke` 버전 2.0.0-alpha.1부터 2.0.0까지는 2.x 라인에서 `RunnerProcessFactory`, 3.x 라인에서 `RunnerConfigurationFactory`에 인젝션 취약점(argument-injection vulnerability)이 존재합니다. 이러한 팩토리들은 러너 인수, 호출자가 제어하는 대상 및 호출자가 제어하는 인수를 하나의 `ProcessStartInfo.Arguments` 문자열로 결합하여, 대상 또는 인수 내의 큰따옴표가 운영체제 수준의 인용 영역을 종료하고 러너의 인수 벡터에 의도치 않은 요소를 주입할 수 있게 합니다. 이는 셸 러너 사용 시 임의 명령 실행(arbitrary command execution)으로 이어질 가능성이 있습니다. 이 취약점은 `CliInvoke` 버전 2.8.5, 2.9.4, 2.10.5 및 3.0.0-beta.2에서, 그리고 `AlastairLundy.CliInvoke` 버전 2.0.2에서 패치되었습니다. 완전한 우회책은 제공되지 않으며, 업그레이드가 불가능한 사용자는 대상과 인수에서 큰따옴표를 제거하고 셸 러너를 사용할 때 쉘 메타문자를 추가로 제거하거나, 취약한 팩토리를 우회하여 명시적인 `ArgumentList`로 `ProcessConfiguration`을 구성함으로써 문제를 부분적으로 완화할 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.