Niska

Defense in Depth update for NuGet Client

Ujawniono: 14.04.2026
Aktualizacja: 11.10.2026 11:23

Impact

This update adds validation of the package ID and version during package download, in addition to the existing package signature validation.

Patches

NuGet

The following NuGet.exe, NuGet.CommandLine, NuGet.Packaging, and NuGet.Protocol versions have been patched:

Affected versions	Patched version
>= 4.9.0, <= 4.9.6	4.9.7
>= 5.11.0, <= 5.11.6	5.11.7
>= 6.8.0, <= 6.8.1	6.8.2
>= 6.11.0, <= 6.11.1	6.11.2
>= 6.12.0, <= 6.12.4	6.12.5
>= 6.14.0, <= 6.14.2	6.14.3
>= 7.0.0, <= 7.0.2	7.0.3
7.3.0	7.3.1

.NET SDK

.NET 8.0.126 SDK
.NET 8.0.420 SDK
.NET 9.0.116 SDK
.NET 9.0.313 SDK
.NET 10.0.106 SDK
.NET 10.0.202 SDK

Workarounds

N/A

References

https://github.com/NuGet/NuGetGallery/security/advisories/GHSA-9r3h-v4hx-rhfr

Credit

splitline with DEVCORE

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
.NET (NuGet)	NuGet.CommandLine	>= 4.9.0, < 4.9.7, >= 5.11.0, < 5.11.7, >= 6.8.0, < 6.8.2, >= 6.11.0, < 6.11.2, >= 6.12.0, < 6.12.5, >= 6.14.0, < 6.14.3, >= 7.0.0, < 7.0.3, >= 7.3.0, < 7.3.1	4.9.7, 5.11.7, 6.8.2, 6.11.2, 6.12.5, 6.14.3, 7.0.3, 7.3.1
.NET (NuGet)	NuGet.Packaging	>= 4.9.0, < 4.9.7, >= 5.11.0, < 5.11.7, >= 6.8.0, < 6.8.2, >= 6.11.0, < 6.11.2, >= 6.12.0, < 6.12.5, >= 6.14.0, < 6.14.3, >= 7.0.0, < 7.0.3, >= 7.3.0, < 7.3.1	4.9.7, 5.11.7, 6.8.2, 6.11.2, 6.12.5, 6.14.3, 7.0.3, 7.3.1
.NET (NuGet)	NuGet.Protocol	>= 4.9.0, < 4.9.7, >= 5.11.0, < 5.11.7, >= 6.8.0, < 6.8.2, >= 6.11.0, < 6.11.2, >= 6.12.0, < 6.12.5, >= 6.14.0, < 6.14.3, >= 7.0.0, < 7.0.3, >= 7.3.0, < 7.3.1	4.9.7, 5.11.7, 6.8.2, 6.11.2, 6.12.5, 6.14.3, 7.0.3, 7.3.1

Odnośniki

Ocena CVSS -

Słabość (CWE): CWE-345
Platforma: .NET (NuGet)
Paczka: NuGet.CommandLine, NuGet.Packaging, NuGet.Protocol
Ujawniono: 14.04.2026
Aktualizacja: 11.10.2026 11:23

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-g4vj-cjjj-v7hg - CC BY 4.0

Historia podatności: NuGet.CommandLine

Wszystkie opisane podatności tej paczki (.NET (NuGet)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 5
Pierwsza → ostatnia: 06.2022 04.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 1
Wysoka 2
Średnia 1
Niska 1

Ujawnienia w latach

2022: 2
2023: 1
2024: 1
2025: 0
2026: 1

14.04.2026

Defense in Depth update for NuGet Client ten wpis

Niska ghsa-g4vj-cjjj-v7hg >= 4.9.0, < 4.9.7, >= 5.11.0, < 5.11.7, >= 6.8.0, < 6.8.2, >= 6.11.0, < 6.11.2, >= 6.12.0, < 6.12.5, >= 6.14.0, < 6.14.3, >= 7.0.0, < 7.0.3, >= 7.3.0, < 7.3.1 4.9.7, 5.11.7, 6.8.2, 6.11.2, 6.12.5, 6.14.3, 7.0.3, 7.3.1
13.02.2024

NuGet Client Security Feature Bypass Vulnerability

Krytyczna · 9.1 CVE-2024-0057 >= 4.6.0, < 5.11.6, >= 6.0.0, < 6.0.6, >= 6.3.0, < 6.3.4, >= 6.4.0, < 6.4.3, >= 6.6.0, < 6.6.2, >= 6.7.0, < 6.7.1, >= 6.8.0, < 6.8.1 5.11.6, 6.0.6, 6.3.4, 6.4.3, 6.6.2, 6.7.1, 6.8.1
14.06.2023

NuGet Client Remote Code Execution Vulnerability

Wysoka · 7.1 CVE-2023-29337 >= 6.0.0, < 6.0.5, >= 6.2.0, < 6.2.4, >= 6.3.0, < 6.3.3, >= 6.4.0, < 6.4.2, >= 6.5.0, < 6.5.1, >= 6.6.0, < 6.6.1, >= 4.6.0, < 5.11.5 6.0.5, 6.2.4, 6.3.3, 6.4.2, 6.5.1, 6.6.1, 5.11.5
11.10.2022

NuGet Elevation of Privilege Vulnerability

Wysoka · 7.8 CVE-2022-41032 >= 4.6.0, < 4.9.6, >= 5.0.0, < 5.7.3, >= 5.8.0, < 5.9.3, >= 5.10.0, < 5.11.3, >= 6.0.0, < 6.0.3, >= 6.1.0, < 6.2.2, >= 6.3.0, < 6.3.1 4.9.6, 5.7.3, 5.9.3, 5.11.3, 6.0.3, 6.2.2, 6.3.1
14.06.2022

Potential leak of NuGet.org API key

Średnia · 5.5 CVE-2022-30184 >= 3.5.0, < 4.9.5, >= 5.0.0, < 5.2.1, >= 5.3.0, < 5.7.2, >= 5.8.0, < 5.9.2, >= 5.10.0, < 5.11.2, >= 6.0.0, < 6.0.2, >= 6.1.0, < 6.2.1 4.9.5, 5.2.1, 5.7.2, 5.9.2, 5.11.2, 6.0.2, 6.2.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację