CVE-2026-113709
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Argo CD to deklaratywne narzędzie GitOps do ciągłego dostarczania dla Kubernetes. Od wersji 2.1.0 do 3.3.15, 3.4.10, 3.5.4 i 3.6.0-rc2, gdy operator włączył opcję --enable-helm dla kompilacji kustomize, helmGlobals.configHome może wskazać katalogi konfiguracji i danych Helma w lokalizacji kontrolowanej przez repozytorium. Helm automatycznie ładuje wtyczkę downloadera z `<configHome>/.data/plugins` bez oddzielnego kroku instalacji wtyczki i uruchamia swój program wewnątrz argocd-repo-server, gdy adres URL repozytorium helmCharts korzysta z protokołu wtyczki. Komenda działa jako użytkownik serwera repozytorium i może odczytać referencje repozytorium oraz inne dane dostępne dla procesu. Osoba atakująca może zatwierdzić Kustomizację i wtyczkę w repozytorium Git, które buduje aplikacja, lub przesłać pliki za pomocą testu POST /api/v1/applications/manifestsWithFiles, co jest również ujawniane przez argocd app diff --local --server-side-generate. Ścieżka przesyłania wymaga, aby tylko aplikacja uzyskała uprawnienia do istniejącej aplikacji, bez uprawnień do aktualizacji aplikacji lub synchronizacji ani dostępu do zapisu w repozytorium. Obie ścieżki dostarczania wymagają wcześniejszego włączenia operatora --enable-helm; nie ma to wpływu na wdrożenia, które tego nie umożliwiają. Kustomize 4.1.0 najpierw przekazał plik helmGlobals.configHome do Helma. Ten problem został rozwiązany w wersjach 3.3.15, 3.4.10, 3.5.4 i 3.6.0-rc2.
>_ Słabości (CWE)
>_ Referencje
- https://argo-cd.readthedocs.io/en/stable/user-guide/kustomize/#kustomizing-helm-charts
- https://github.com/argoproj/argo-cd/commit/b6d5c23bce2f8a46c52975ba438a3b93d242d96c
- https://github.com/argoproj/argo-cd/pull/6059
- https://github.com/argoproj/argo-cd/releases/tag/v3.3.15
- https://github.com/argoproj/argo-cd/releases/tag/v3.4.10
- https://github.com/argoproj/argo-cd/releases/tag/v3.5.4
- https://github.com/argoproj/argo-cd/releases/tag/v3.6.0-rc2
- https://github.com/argoproj/argo-cd/security/advisories/GHSA-fw5c-w8rc-j7fx
- https://github.com/argoproj/argo-cd/security/advisories/GHSA-j6cw-g6p4-7hch
- https://github.com/kubernetes-sigs/kustomize/pull/3784
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org