CVE-2026-28229
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
Argo Workflows przed wersjami 4.0.2 i 3.7.11 umożliwia nieautoryzowany dostęp do szablonów przepływów pracy (WorkflowTemplates i ClusterWorkflowTemplates) poprzez dowolne żądanie z tokenem Authorization: Bearer nothing. Może to prowadzić do wycieku wrażliwych danych, w tym osadzonych manifestów Secret.
Ocena ryzyka
Ryzyko polega na możliwości ujawnienia poufnych informacji, takich jak hasła, klucze API czy certyfikaty, przechowywanych w szablonach przepływów pracy, co może umożliwić atakującemu eskalację uprawnień lub dostęp do innych zasobów.
Rekomendacja
Należy niezwłocznie zaktualizować Argo Workflows do wersji 4.0.2 lub 3.7.11, które zawierają poprawkę eliminującą podatność. Dodatkowo zaleca się ograniczenie dostępu do API za pomocą polityk sieciowych i uwierzytelniania.
Oryginalny opis (angielski, źródło NVD)
Argo Workflows is an open source container-native workflow engine for orchestrating parallel jobs on Kubernetes. Prior to 4.0.2 and 3.7.11, Workflow templates endpoints allow any client to retrieve WorkflowTemplates (and ClusterWorkflowTemplates). Any request with a Authorization: Bearer nothing token can leak sensitive template content, including embedded Secret manifests. This vulnerability is fixed in 4.0.2 and 3.7.11.