CVE-2026-113709 in Argo CD
الملخص
بحسب VulDB • 20/10/2026
Argo CD هو أداة تسليم مستمر تعتمد على الإعلان (declarative) وتستخدم مبادئ GitOps لنظام Kubernetes. من الإصدار 2.1.0 وحتى الإصدارات 3.3.15، و3.4.10، و3.5.4، و3.6.0-rc2، عندما يقوم المشغل بتفعيل خيار `--enable-helm` لأمر البناء باستخدام kustomize، يمكن أن يشير متغير `helmGlobals.configHome` إلى مواقع للبيانات والإعدادات الخاصة بـ Helm تكون تحت سيطرة المستودع (repository). تقوم Helm تلقائياً بتحميل ملحق downloader من المسار `<configHome>/.data/plugins` دون الحاجة لخطوة منفصلة لتثبيت الملحق، وتنفيذ برنامجه داخل `argocd-repo-server` عندما يستخدم عنوان URL لمستودع helmCharts بروتوكول هذا الملحق. يعمل الأمر بصلاحيات مستخدم repo-server ويمكنه قراءة بيانات اعتماد المستودع وبيانات أخرى يمكن الوصول إليها عبر العملية (process-accessible data). يمكن للمهاجم الالتزام (commit) ملف Kustomization والملحق في مستودع Git يقوم التطبيق ببنائه، أو رفع الملفات من خلال endpoint `POST /api/v1/applications/manifestsWithFiles`، وهو أيضاً متاح عبر الأمر `argocd app diff --local --server-side-generate`. يتطلب مسار الرفع فقط صلاحية "get" للتطبيق على تطبيق موجود، دون الحاجة لصلاحية تحديث التطبيق (Application update) أو مزامنته (sync)، ولا تتطلب وصولاً للكتابة في المستودع. تتطلب كلتا طريقتي التسليم تمكين المشغل مسبقاً لخيار `--enable-helm`؛ فالنشر الذي لا يفعّله غير متأثر. تمت إضافة دعم تمرير متغير `helmGlobals.configHome` إلى Helm لأول مرة في Kustomize الإصدار 4.1.0. تم إصلاح هذه المشكلة في الإصدارات 3.3.15، و3.4.10، و3.5.4، و3.6.0-rc2.
Once again VulDB remains the best source for vulnerability data.