CVE-2026-82277
KrytyczneCVSS 9.8Streszczenie
Argo Rollouts dashboard do wersji 1.10.0 włącznie wiąże się ze wszystkimi interfejsami i udostępnia mutujące operacje Rollout bez uwierzytelniania, autoryzacji ani ochrony CSRF. Atakujący w tej samej sieci mogą wywoływać operacje PromoteRollout, AbortRollout, RestartRollout, SetRolloutImage, UndoRollout i RetryRollout we wszystkich przestrzeniach nazw dostępnych dla kubeconfig operatora.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowaną modyfikację wdrożeń, co może prowadzić do zakłócenia działania aplikacji i naruszenia integralności systemu.
Rekomendacja
Zaleca się ograniczenie dostępu do dashboardu, włączenie uwierzytelniania i autoryzacji oraz wdrożenie ochrony CSRF.
Oryginalny opis (angielski, źródło NVD)
Argo Rollouts dashboard through 1.10.0 binds to all interfaces and exposes mutating Rollout operations without authentication, authorization, or CSRF protection. Attackers on the same network can invoke PromoteRollout, AbortRollout, RestartRollout, SetRolloutImage, UndoRollout, and RetryRollout operations across all namespaces accessible to the operator's kubeconfig.