CVE-2026-45738
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Podatność w Argo CD pozwala użytkownikom z dostępem do zapisu aplikacji na ustawienie adnotacji link.argocd.argoproj.io/* z wartościami rozdzielonymi pionową kreską, które są renderowane jako atrybuty href w sekcji URL w zakładce Podsumowanie bez walidacji, umożliwiając wykonanie kodu JavaScript w sesji uwierzytelnionego użytkownika o wyższych uprawnieniach. Problem został naprawiony w wersjach 3.2.12, 3.3.10 i 3.4.2.
Ocena ryzyka
Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu JavaScript w kontekście sesji administratora, co może prowadzić do kradzieży tokenów, przejęcia konta lub nieautoryzowanych działań w klastrze Kubernetes.
Rekomendacja
Niezwłocznie zaktualizuj Argo CD do wersji 3.2.12, 3.3.10 lub 3.4.2 w zależności od używanej gałęzi. Ogranicz dostęp do zapisu aplikacji tylko do zaufanych użytkowników.
Inne podatności w Argo CD
Zobacz wszystkie- CVE-2026-42880Krytyczne
W Argo CD w wersjach od 3.2.0 do 3.2.10 oraz od 3.3.0 do 3.3.8 brakuje autoryzacji i maskowania danych w punkcie końcowym ServerSideDiff. Umożliwia to atakującemu z dostępem tylko do odczytu wyodrębnienie danych Secret w postaci jawnego tekstu z etcd za pomocą mechanizmu Server-Side Apply dry-run serwera API Kubernetes.
- CVE-2026-45737Średnie
Argo CD ServerSideDiff w wersjach od 3.2.0 do 3.2.12, 3.3.10 i 3.4.2 nieprawidłowo oczyszcza dane Secretów Kubernetes, co może ujawnić wrażliwe wartości, w tym dane z adnotacji kubectl.kubernetes.io/last-applied-configuration. Podatność pozwala na wyświetlenie tych danych w interfejsie użytkownika lub w różnicach CLI.
- CVE-2026-15416Wysokie
W Argo CD, silniku GitOps używanym przez Red Hat OpenShift GitOps, wykryto lukę umożliwiającą nieuwierzytelnionemu atakującemu z dostępem sieciowym do serwera repozytorium Argo CD zdalne wykonanie kodu. W pewnych warunkach atakujący może manipulować danymi w pamięci podręcznej, aby wdrożyć złośliwe zasoby Kubernetes do zarządzanych klastrów, co może prowadzić do całkowitego przejęcia klastra.
- CVE-2026-43824Wysokie
Podatność w Argo CD w wersjach 3.2.0 do 3.2.10 oraz 3.3.0 do 3.3.8 umożliwia odczytanie danych tajnych Kubernetes w postaci jawnego tekstu za pomocą funkcji ServerSideDiff.
- CVE-2023-40025Średnie
Argo CD, narzędzie do ciągłego dostarczania w modelu GitOps dla Kubernetes, ma błąd w wersjach od 2.6.0, który powoduje, że otwarte sesje terminala webowego nie wygasają. Umożliwia to użytkownikom wysyłanie wiadomości websocket, nawet gdy token już wygasł.
- CVE-2022-41354Średnie
Podatność w Argo CD w wersji 2.4.12 i niższych umożliwia nieuwierzytelnionym atakującym enumerację istniejących aplikacji. Problem wynika z braku odpowiedniej kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. Prior to 3.2.12, 3.3.10, and 3.4.2, Argo CD users with application write access can set link.argocd.argoproj.io/* annotations whose pipe-separated values are rendered by ui/src/app/applications/components/application-summary/application-summary.tsx in the Summary tab URLs section as anchor href values without URL validation, allowing javascript: execution in a higher-privileged user's authenticated Argo CD origin session. This issue is fixed in versions 3.2.12, 3.3.10, and 3.4.2.