Niedrig

Defense in Depth update for NuGet Client

Veröffentlicht: 14.04.2026
Aktualisiert: 11.10.2026 11:23

Impact

This update adds validation of the package ID and version during package download, in addition to the existing package signature validation.

Patches

NuGet

The following NuGet.exe, NuGet.CommandLine, NuGet.Packaging, and NuGet.Protocol versions have been patched:

Affected versions	Patched version
>= 4.9.0, <= 4.9.6	4.9.7
>= 5.11.0, <= 5.11.6	5.11.7
>= 6.8.0, <= 6.8.1	6.8.2
>= 6.11.0, <= 6.11.1	6.11.2
>= 6.12.0, <= 6.12.4	6.12.5
>= 6.14.0, <= 6.14.2	6.14.3
>= 7.0.0, <= 7.0.2	7.0.3
7.3.0	7.3.1

.NET SDK

.NET 8.0.126 SDK
.NET 8.0.420 SDK
.NET 9.0.116 SDK
.NET 9.0.313 SDK
.NET 10.0.106 SDK
.NET 10.0.202 SDK

Workarounds

N/A

References

https://github.com/NuGet/NuGetGallery/security/advisories/GHSA-9r3h-v4hx-rhfr

Credit

splitline with DEVCORE

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
.NET (NuGet)	NuGet.CommandLine	>= 4.9.0, < 4.9.7, >= 5.11.0, < 5.11.7, >= 6.8.0, < 6.8.2, >= 6.11.0, < 6.11.2, >= 6.12.0, < 6.12.5, >= 6.14.0, < 6.14.3, >= 7.0.0, < 7.0.3, >= 7.3.0, < 7.3.1	4.9.7, 5.11.7, 6.8.2, 6.11.2, 6.12.5, 6.14.3, 7.0.3, 7.3.1
.NET (NuGet)	NuGet.Packaging	>= 4.9.0, < 4.9.7, >= 5.11.0, < 5.11.7, >= 6.8.0, < 6.8.2, >= 6.11.0, < 6.11.2, >= 6.12.0, < 6.12.5, >= 6.14.0, < 6.14.3, >= 7.0.0, < 7.0.3, >= 7.3.0, < 7.3.1	4.9.7, 5.11.7, 6.8.2, 6.11.2, 6.12.5, 6.14.3, 7.0.3, 7.3.1
.NET (NuGet)	NuGet.Protocol	>= 4.9.0, < 4.9.7, >= 5.11.0, < 5.11.7, >= 6.8.0, < 6.8.2, >= 6.11.0, < 6.11.2, >= 6.12.0, < 6.12.5, >= 6.14.0, < 6.14.3, >= 7.0.0, < 7.0.3, >= 7.3.0, < 7.3.1	4.9.7, 5.11.7, 6.8.2, 6.11.2, 6.12.5, 6.14.3, 7.0.3, 7.3.1

Verweise

CVSS-Wert -

Schwäche (CWE): CWE-345
Plattform: .NET (NuGet)
Paket: NuGet.CommandLine, NuGet.Packaging, NuGet.Protocol
Veröffentlicht: 14.04.2026
Aktualisiert: 11.10.2026 11:23

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-g4vj-cjjj-v7hg - CC BY 4.0

Schwachstellenhistorie: NuGet.Protocol

Alle veröffentlichten Schwachstellen dieses Pakets (.NET (NuGet)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 3
Erste → letzte: 10.2022 04.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 2
Niedrig 1

Veröffentlichungen pro Jahr

2022: 1
2023: 1
2024: 0
2025: 0
2026: 1

14.04.2026

Defense in Depth update for NuGet Client dieser Eintrag

Niedrig ghsa-g4vj-cjjj-v7hg >= 4.9.0, < 4.9.7, >= 5.11.0, < 5.11.7, >= 6.8.0, < 6.8.2, >= 6.11.0, < 6.11.2, >= 6.12.0, < 6.12.5, >= 6.14.0, < 6.14.3, >= 7.0.0, < 7.0.3, >= 7.3.0, < 7.3.1 4.9.7, 5.11.7, 6.8.2, 6.11.2, 6.12.5, 6.14.3, 7.0.3, 7.3.1
14.06.2023

NuGet Client Remote Code Execution Vulnerability

Hoch · 7.1 CVE-2023-29337 >= 6.0.0, < 6.0.5, >= 6.2.0, < 6.2.4, >= 6.3.0, < 6.3.3, >= 6.4.0, < 6.4.2, >= 6.5.0, < 6.5.1, >= 6.6.0, < 6.6.1, >= 4.7.0, < 5.11.5 6.0.5, 6.2.4, 6.3.3, 6.4.2, 6.5.1, 6.6.1, 5.11.5
11.10.2022

NuGet Elevation of Privilege Vulnerability

Hoch · 7.8 CVE-2022-41032 >= 4.6.0, < 4.9.6, >= 5.0.0, < 5.7.3, >= 5.8.0, < 5.9.3, >= 5.10.0, < 5.11.3, >= 6.0.0, < 6.0.3, >= 6.1.0, < 6.2.2, >= 6.3.0, < 6.3.1 4.9.6, 5.7.3, 5.9.3, 5.11.3, 6.0.3, 6.2.2, 6.3.1

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden