CVE-2026-100369

CliInvoke və əvvəlki adı `AlastairLundy.CliInvoke` olan paket, komanda sətri proqramlarını çağırmaq və icra edilə bilən prosesləri paketləmək üçün nəzərdə tutulmuş .NET kitabxanalarıdır. `CliInvoke`-un 2.0.0-dan 2.8.4-ə, 2.9.0-dan 2.9.3-ə, 2.10.0-dan 2.10.4-ə və 3.0.0-alpha.1-dən 3.0.0-beta.1-ə qədər olan versiyaları, həmçinin `AlastairLundy.CliInvoke`-un 2.0.0-alpha.1-dən 2.0.0-ə qədər olan versiyaları, 2.x seriyasında `RunnerProcessFactory`, 3.x seriyasında isə `RunnerConfigurationFactory` komponentində arqument-inyeksiyası zəifliyinə malikdir. Bu fabriklər işəsalıcı arqumentlərini, çağırıcı tərəfindən idarə olunan hədəfi və çağırıcı tərəfindən idarə olunan arqumentləri bir `ProcessStartInfo.Arguments` sətrinə birləşdirir; bu isə hədəfdə və ya arqumentdə dırnaq işarəsinin istifadəsi ilə əməliyyat sistemi səviyyəsində dırnaq arası bölgünün sonlandırılmasına və işəsalıcının arqument vektoruna qeyri-istehsalı elementlərin inyeksiya edilməsinə şərait yaradır ki, bu da shell işəsalıcısından istifadə edildikdə ixtiyari kodun icrasına gətirib çıxara bilər. Zəiflik `CliInvoke`-un 2.8.5, 2.9.4, 2.10.5 və 3.0.0-beta.2 versiyalarında, həmçinin `AlastairLundy.CliInvoke`-un 2.0.2 versiyasında aradan qaldırılıb. Tam alternativ həll yolu mövcud deyil; yeniləmə imkanı olmayan istifadəçilər hədəflərdən və arqumentlərdən dırnaq işarələrini silərək, shell işəsalıcılarından istifadə etdikdə shell meta simvollarını təmizləyərək və ya zəifliyə malik fabrikdən yan keçərək açıq `ArgumentList` ilə `ProcessConfiguration` qurmaqla problemi qismən yumşalda bilərlər.