Baja

Defense in Depth update for NuGet Client

Publicada: 14.04.2026
Actualizado: 11.10.2026 11:23

Impact

This update adds validation of the package ID and version during package download, in addition to the existing package signature validation.

Patches

NuGet

The following NuGet.exe, NuGet.CommandLine, NuGet.Packaging, and NuGet.Protocol versions have been patched:

Affected versions	Patched version
>= 4.9.0, <= 4.9.6	4.9.7
>= 5.11.0, <= 5.11.6	5.11.7
>= 6.8.0, <= 6.8.1	6.8.2
>= 6.11.0, <= 6.11.1	6.11.2
>= 6.12.0, <= 6.12.4	6.12.5
>= 6.14.0, <= 6.14.2	6.14.3
>= 7.0.0, <= 7.0.2	7.0.3
7.3.0	7.3.1

.NET SDK

.NET 8.0.126 SDK
.NET 8.0.420 SDK
.NET 9.0.116 SDK
.NET 9.0.313 SDK
.NET 10.0.106 SDK
.NET 10.0.202 SDK

Workarounds

N/A

References

https://github.com/NuGet/NuGetGallery/security/advisories/GHSA-9r3h-v4hx-rhfr

Credit

splitline with DEVCORE

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
.NET (NuGet)	NuGet.CommandLine	>= 4.9.0, < 4.9.7, >= 5.11.0, < 5.11.7, >= 6.8.0, < 6.8.2, >= 6.11.0, < 6.11.2, >= 6.12.0, < 6.12.5, >= 6.14.0, < 6.14.3, >= 7.0.0, < 7.0.3, >= 7.3.0, < 7.3.1	4.9.7, 5.11.7, 6.8.2, 6.11.2, 6.12.5, 6.14.3, 7.0.3, 7.3.1
.NET (NuGet)	NuGet.Packaging	>= 4.9.0, < 4.9.7, >= 5.11.0, < 5.11.7, >= 6.8.0, < 6.8.2, >= 6.11.0, < 6.11.2, >= 6.12.0, < 6.12.5, >= 6.14.0, < 6.14.3, >= 7.0.0, < 7.0.3, >= 7.3.0, < 7.3.1	4.9.7, 5.11.7, 6.8.2, 6.11.2, 6.12.5, 6.14.3, 7.0.3, 7.3.1
.NET (NuGet)	NuGet.Protocol	>= 4.9.0, < 4.9.7, >= 5.11.0, < 5.11.7, >= 6.8.0, < 6.8.2, >= 6.11.0, < 6.11.2, >= 6.12.0, < 6.12.5, >= 6.14.0, < 6.14.3, >= 7.0.0, < 7.0.3, >= 7.3.0, < 7.3.1	4.9.7, 5.11.7, 6.8.2, 6.11.2, 6.12.5, 6.14.3, 7.0.3, 7.3.1

Referencias

Puntuación CVSS -

Debilidad (CWE): CWE-345
Plataforma: .NET (NuGet)
Paquete: NuGet.CommandLine, NuGet.Packaging, NuGet.Protocol
Publicada: 14.04.2026
Actualizado: 11.10.2026 11:23

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-g4vj-cjjj-v7hg - CC BY 4.0

Historial de vulnerabilidades: NuGet.CommandLine

Todas las vulnerabilidades publicadas de este paquete (.NET (NuGet)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 5
Primera → última: 06.2022 04.2026
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Crítica 1
Alta 2
Media 1
Baja 1

Divulgaciones por año

2022: 2
2023: 1
2024: 1
2025: 0
2026: 1

14.04.2026

Defense in Depth update for NuGet Client esta entrada

Baja ghsa-g4vj-cjjj-v7hg >= 4.9.0, < 4.9.7, >= 5.11.0, < 5.11.7, >= 6.8.0, < 6.8.2, >= 6.11.0, < 6.11.2, >= 6.12.0, < 6.12.5, >= 6.14.0, < 6.14.3, >= 7.0.0, < 7.0.3, >= 7.3.0, < 7.3.1 4.9.7, 5.11.7, 6.8.2, 6.11.2, 6.12.5, 6.14.3, 7.0.3, 7.3.1
13.02.2024

NuGet Client Security Feature Bypass Vulnerability

Crítica · 9.1 CVE-2024-0057 >= 4.6.0, < 5.11.6, >= 6.0.0, < 6.0.6, >= 6.3.0, < 6.3.4, >= 6.4.0, < 6.4.3, >= 6.6.0, < 6.6.2, >= 6.7.0, < 6.7.1, >= 6.8.0, < 6.8.1 5.11.6, 6.0.6, 6.3.4, 6.4.3, 6.6.2, 6.7.1, 6.8.1
14.06.2023

NuGet Client Remote Code Execution Vulnerability

Alta · 7.1 CVE-2023-29337 >= 6.0.0, < 6.0.5, >= 6.2.0, < 6.2.4, >= 6.3.0, < 6.3.3, >= 6.4.0, < 6.4.2, >= 6.5.0, < 6.5.1, >= 6.6.0, < 6.6.1, >= 4.6.0, < 5.11.5 6.0.5, 6.2.4, 6.3.3, 6.4.2, 6.5.1, 6.6.1, 5.11.5
11.10.2022

NuGet Elevation of Privilege Vulnerability

Alta · 7.8 CVE-2022-41032 >= 4.6.0, < 4.9.6, >= 5.0.0, < 5.7.3, >= 5.8.0, < 5.9.3, >= 5.10.0, < 5.11.3, >= 6.0.0, < 6.0.3, >= 6.1.0, < 6.2.2, >= 6.3.0, < 6.3.1 4.9.6, 5.7.3, 5.9.3, 5.11.3, 6.0.3, 6.2.2, 6.3.1
14.06.2022

Potential leak of NuGet.org API key

Media · 5.5 CVE-2022-30184 >= 3.5.0, < 4.9.5, >= 5.0.0, < 5.2.1, >= 5.3.0, < 5.7.2, >= 5.8.0, < 5.9.2, >= 5.10.0, < 5.11.2, >= 6.0.0, < 6.0.2, >= 6.1.0, < 6.2.1 4.9.5, 5.2.1, 5.7.2, 5.9.2, 5.11.2, 6.0.2, 6.2.1

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación