CVE-2026-113708
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Argo CD to deklaratywne narzędzie GitOps do ciągłego dostarczania dla Kubernetes. Od wersji 2.7.0 do 3.3.15, 3.4.10, 3.5.4 i 3.6.0-rc2 Kustomize przekazuje wartości zapytania ref lub wersji ze zdalnych adresów URL zasobów, bazowych lub komponentów do git fetch bez separatora końca opcji. Wartość łącznika wiodącego można przeanalizować jako --upload-pack i wykonać polecenie wewnątrz argocd-repo-server, gdy pilot korzysta z lokalnego transportu, takiego jak file://. Git nie uruchamia dostarczonego polecenia dla pilota https://. Transport lokalny nie opuszcza kapsuły, więc zablokowanie wyjścia z serwera repo nie uniemożliwia wykonania. Polecenie działa jako użytkownik serwera repozytorium, może odczytać referencje repozytorium i inne dane dostępne dla procesu oraz może zwrócić dane wyjściowe w przypadku błędów generowania manifestu. Osoba atakująca może wykonać Kustomizację w repozytorium Git, które buduje aplikacja, lub przesłać pliki za pomocą testu POST /api/v1/applications/manifestsWithFiles, co jest również ujawniane przez argocd app diff --local --server-side-generate. Ścieżka przesyłania wymaga, aby tylko aplikacja uzyskała uprawnienia do istniejącej aplikacji, bez uprawnień do aktualizacji aplikacji lub synchronizacji ani dostępu do zapisu w repozytorium. Kustomize 5.0.0 wprowadziło akceptację file://, podczas gdy 4.5.7 odrzuca ten transport; zastąpienie dotkniętego Kustomize samą nowszą wersją nie koryguje brakującego separatora opcji. Ten problem został rozwiązany w wersjach 3.3.15, 3.4.10, 3.5.4 i 3.6.0-rc2.
>_ Słabości (CWE)
>_ Referencje
- https://argo-cd.readthedocs.io/en/stable/user-guide/kustomize/#custom-kustomize-versions
- https://github.com/argoproj/argo-cd/commit/25badeb7a1e154805340bb7237e0ce671f3772dd
- https://github.com/argoproj/argo-cd/pull/12299
- https://github.com/argoproj/argo-cd/releases/tag/v3.3.15
- https://github.com/argoproj/argo-cd/releases/tag/v3.4.10
- https://github.com/argoproj/argo-cd/releases/tag/v3.5.4
- https://github.com/argoproj/argo-cd/releases/tag/v3.6.0-rc2
- https://github.com/argoproj/argo-cd/security/advisories/GHSA-9v9p-x54c-58gc
- https://github.com/argoproj/argo-cd/security/advisories/GHSA-j6cw-g6p4-7hch
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org