CVE-2026-100368

Nome do Software Vulnerável e Versões Afetadas CliInvoke.Specializations versões 2.2.0 até 2.8.4 CliInvoke.Specializations versões 2.9.0 até 2.9.3 CliInvoke.Specializations versões 2.10.0 até 2.10.4 CliInvoke.Specializations versões 3.0.0-alpha.1 até 3.0.0-alpha.4 CliInvoke.Specializations versões 3.0.0-alpha.8 até 3.0.0-alpha.10 AlastairLundy.CliInvoke.Specializations versões 1.0.0-rc.1 até 1.6.1.1

Description Um problema de injeção de comando de SO existe nos wrappers de shell PowerShell e Cmd, especificamente nos invokers PowershellProcessInvoker e CmdProcessInvoker, e nos middlewares UsePowerShell e UseCmd. Os wrappers passam um alvo e argumentos controlados pelo chamador para pwsh -Command ou cmd /c usando uma única string ProcessStartInfo.Arguments. Como o analisador de linha de comando do SO re-tokeniza essa string antes que o shell a analise, uma aspa dupla em entradas não confiáveis pode quebrar a citação no nível do sistema operacional. Isso permite que o shell execute comandos adicionais não pretendidos com os privilégios do processo hospedeiro.

Recommendations Atualizar CliInvoke.Specializations versões 2.2.0 até 2.8.4 para a versão 2.8.5. Atualizar CliInvoke.Specializations versões 2.9.0 até 2.9.3 para a versão 2.9.4. Atualizar CliInvoke.Specializations versões 2.10.0 até 2.10.4 para a versão 2.10.5. Atualizar CliInvoke.Specializations versões 3.0.0-alpha.1 até 3.0.0-alpha.10 para a versão 3.0.0-beta.1. Atualizar AlastairLundy.CliInvoke.Specializations versões 1.0.0-rc.1 até 1.6.1.1 para a versão 2.0.2. Como mitigação temporária, rejeite ou remova aspas duplas de caminhos de destino e argumentos. Para CliInvoke.Specializations versões 2.2.0 até 2.9.2 e 3.0.0-alpha.1 até 3.0.0-alpha.4, rejeite metacaracteres de shell como ;, |, &, $, crases e parênteses. Ignore os wrappers PowerShell e Cmd e invoque os processos de destino diretamente ao lidar com entradas não confiáveis.