GHSA-g4vj-cjjj-v7hg
Defense in Depth update for NuGet Client
Quick fix
GHSA-g4vj-cjjj-v7hg — NuGet.Packaging: upgrade to the fixed version with the command below.
dotnet add package NuGet.Packaging --version 4.9.7Details
### Impact This update adds validation of the package ID and version during package download, in addition to the existing package signature validation.
### Patches
#### NuGet
The following NuGet.exe, NuGet.CommandLine, NuGet.Packaging, and NuGet.Protocol versions have been patched:
|Affected versions|Patched version| |--|--| |>= 4.9.0, <= 4.9.6|4.9.7| |>= 5.11.0, <= 5.11.6|5.11.7| |>= 6.8.0, <= 6.8.1|6.8.2| |>= 6.11.0, <= 6.11.1|6.11.2| |>= 6.12.0, <= 6.12.4|6.12.5| |>= 6.14.0, <= 6.14.2|6.14.3| |>= 7.0.0, <= 7.0.2|7.0.3| |7.3.0|7.3.1|
#### .NET SDK
* .NET 8.0.126 SDK * .NET 8.0.420 SDK * .NET 9.0.116 SDK * .NET 9.0.313 SDK * .NET 10.0.106 SDK * .NET 10.0.202 SDK
### Workarounds N/A
### References https://github.com/NuGet/NuGetGallery/security/advisories/GHSA-9r3h-v4hx-rhfr
### Credit [splitline](https://x.com/_splitline_) with [DEVCORE](https://devco.re/)
Are you affected?
Enter the version of the package you're using.
Affected packages
4.9.0Fixed in: 4.9.7dotnet add package NuGet.Packaging --version 4.9.75.11.0Fixed in: 5.11.7dotnet add package NuGet.Packaging --version 5.11.76.8.0Fixed in: 6.8.2dotnet add package NuGet.Packaging --version 6.8.26.11.0Fixed in: 6.11.2dotnet add package NuGet.Packaging --version 6.11.26.12.0Fixed in: 6.12.5dotnet add package NuGet.Packaging --version 6.12.56.14.0Fixed in: 6.14.3dotnet add package NuGet.Packaging --version 6.14.37.0.0Fixed in: 7.0.3dotnet add package NuGet.Packaging --version 7.0.37.3.0Fixed in: 7.3.1dotnet add package NuGet.Packaging --version 7.3.14.9.0Fixed in: 4.9.7dotnet add package NuGet.Protocol --version 4.9.75.11.0Fixed in: 5.11.7dotnet add package NuGet.Protocol --version 5.11.76.8.0Fixed in: 6.8.2dotnet add package NuGet.Protocol --version 6.8.26.11.0Fixed in: 6.11.2dotnet add package NuGet.Protocol --version 6.11.26.12.0Fixed in: 6.12.5dotnet add package NuGet.Protocol --version 6.12.56.14.0Fixed in: 6.14.3dotnet add package NuGet.Protocol --version 6.14.37.0.0Fixed in: 7.0.3dotnet add package NuGet.Protocol --version 7.0.37.3.0Fixed in: 7.3.1dotnet add package NuGet.Protocol --version 7.3.14.9.0Fixed in: 4.9.7dotnet add package NuGet.CommandLine --version 4.9.75.11.0Fixed in: 5.11.7dotnet add package NuGet.CommandLine --version 5.11.76.8.0Fixed in: 6.8.2dotnet add package NuGet.CommandLine --version 6.8.26.11.0Fixed in: 6.11.2dotnet add package NuGet.CommandLine --version 6.11.26.12.0Fixed in: 6.12.5dotnet add package NuGet.CommandLine --version 6.12.56.14.0Fixed in: 6.14.3dotnet add package NuGet.CommandLine --version 6.14.37.0.0Fixed in: 7.0.3dotnet add package NuGet.CommandLine --version 7.0.37.3.0Fixed in: 7.3.1dotnet add package NuGet.CommandLine --version 7.3.1