CVE-2026-82456
KrytyczneCVSS 10.0Streszczenie
argocd-mcp 0.8.0 wiąże swój transport HTTP ze wszystkimi interfejsami sieciowymi i akceptuje sesje MCP bez wymagania poświadczeń wywołującego, gdy skonfigurowano ARGOCD_API_TOKEN. Atakujący, którzy mogą dotrzeć do nasłuchiwacza, mogą wywołać pełną powierzchnię narzędzi, używając przechowywanego tokena operatora, aby tworzyć aplikacje, żądać synchronizacji i modyfikować zasoby Argo CD.
Ocena ryzyka
Brak uwierzytelnienia i nasłuch na wszystkich interfejsach umożliwia nieautoryzowanym atakującym pełną kontrolę nad zasobami Argo CD, co może prowadzić do wdrożenia złośliwych aplikacji lub zakłócenia działania systemu.
Rekomendacja
Zaktualizuj argocd-mcp do najnowszej wersji, która zawiera poprawkę. Ogranicz dostęp do portu nasłuchu tylko do zaufanych sieci i wymagaj uwierzytelnienia dla wszystkich sesji MCP.
Oryginalny opis (angielski, źródło NVD)
argocd-mcp 0.8.0 binds its HTTP transport to every network interface and accepts MCP sessions without requiring caller credentials when ARGOCD_API_TOKEN is configured. Attackers who can reach the listener can invoke the full tool surface using the operator's stored token to create applications, request syncs, and modify Argo CD resources.