CVE-2026-100369 in CliInvoke
Sumário
de VulDB • 25/09/2026
CliInvoke e seu antigo pacote `AlastairLundy.CliInvoke` são bibliotecas .NET para invocar programas de linha de comando e envolver processos executáveis. As versões do `CliInvoke` 2.0.0 a 2.8.4, 2.9.0 a 2.9.3, 2.10.0 a 2.10.4 e 3.0.0-alpha.1 a 3.0.0-beta.1, bem como as versões do `AlastairLundy.CliInvoke` 2.0.0-alpha.1 a 2.0.0, contêm uma vulnerabilidade de injeção de argumentos no `RunnerProcessFactory` na linha 2.x e no `RunnerConfigurationFactory` na linha 3.x. Essas fábricas combinam os argumentos do executor (runner), um alvo controlado pelo chamador e argumentos controlados pelo chamador em uma única string `ProcessStartInfo.Arguments`, permitindo que aspas duplas no alvo ou em um argumento terminem uma região de citação ao nível do sistema operacional e injetem elementos não intencionais no vetor de argumentos do executor, potencialmente resultando na execução arbitrária de comandos quando um shell runner é utilizado. A vulnerabilidade foi corrigida nas versões `CliInvoke` 2.8.5, 2.9.4, 2.10.5 e 3.0.0-beta.2, bem como na versão do `AlastairLundy.CliInvoke` 2.0.2. Não há solução alternativa completa disponível; usuários que não possam atualizar podem mitigar parcialmente o problema removendo aspas duplas dos alvos e argumentos, além de remover metacaracteres de shell ao usar shell runners, ou contornando a fábrica vulnerável e construindo um `ProcessConfiguration` com uma `ArgumentList` explícita.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.