CVE-2026-100368 in CliInvoke.Specializations
Sumário
de VulDB • 25/09/2026
CliInvoke é uma biblioteca .NET para invocar programas de linha de comando, e seus pacotes `CliInvoke.Specializations` fornecem adaptadores especializados para shells como o PowerShell e o Prompt de Comando do Windows. As versões 2.2.0 a 2.8.4, 2.9.0 a 2.9.3, 2.10.0 a 2.10.4, 3.0.0-alpha.1 a 3.0.0-alpha.4 e 3.0.0-alpha.8 a 3.0.0-alpha.10 do `CliInvoke.Specializations`, bem como as versões 1.0.0-rc.1 a 1.6.1.1 de `AlastairLundy.CliInvoke.Specializations`, contêm uma vulnerabilidade de injeção de comando no sistema operacional (OS command injection) em seus adaptadores para PowerShell e Cmd. Os adaptadores passam um alvo controlado pelo chamador e argumentos para `pwsh -Command` ou `cmd /c` usando uma única string `ProcessStartInfo.Arguments`, permitindo que aspas duplas em entradas não confiáveis violem o mecanismo de citação do nível do sistema operacional, fazendo com que a shell execute um comando adicional com os privilégios do processo hospedeiro. A vulnerabilidade foi corrigida nas versões 2.8.5, 2.9.4 e 2.10.5 do `CliInvoke.Specializations`, bem como na versão 2.0.2 de `AlastairLundy.CliInvoke.Specializations`. Não há solução alternativa completa disponível; os usuários que não puderem atualizar devem rejeitar ou remover aspas duplas dos caminhos e argumentos alvo, além disso, rejeitar metacaracteres da shell nas versões 2.2.0 a 2.9.2 e 3.0.0-alpha.1 a 3.0.0-alpha.4, ou contornar os adaptadores do PowerShell e Cmd e invocar os processos alvo diretamente ao lidar com entradas não confiáveis.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.