CVE-2026-77459 in Argo CD
الملخص
بحسب VulDB • 16/10/2026
Argo CD هو أداة تسليم مستمر تعتمد على الإعلان (declarative) وGitOps لنظام Kubernetes. من الإصدار 2.10.0 وحتى الإصدارات 3.3.15، و3.4.10، و3.5.4، و3.6.0-rc2، يقوم Argo CD بإنشاء خطوط ربط (hooks) للموارد بعد الحذف (PostDelete resource hooks) دون تطبيق فحوصات التفويض الخاصة بوجهة مشروع التطبيق (AppProject destination) والموارد المستخدمة أثناء المزامنة العادية. تشمل الفحوصات المُتجاهلة قوائم السماح/المنع للموارد ذات النطاق العنقودي (cluster-scoped) والمحددة باسم مساحة الاسم (namespaced). يمكن للمستخدم الذي لديه صلاحية الكتابة إلى مستودع Git الخاص بتطبيق ما، أن يضيف التزاماً (commit) لخط ربط للحذف يستهدف مساحة اسم محظورة، أو خوادماً، أو مجموعات، أو أنواع موارد، أو أسماء موارد غير مسموح بها. وعند حذف التطبيق، يؤدي ذلك إلى قيام وحدة التحكم في التطبيق (application-controller) بإنشاء المورد باستخدام بيانات اعتماد وجهة الخادم العنقودي الخاص به. تتراوح الأثر القابل للتحقيق ضمن حدود وصول وحدة التحكم للعقد، وقد يشمل الموارد ذات النطاق العنقودي، ومساحات الاسم غير المسموح بها، وكائنات الخطوط الثابتة (persistent hook objects)، والكائنات الثانوية التي ينشئها مهمة خط الربط (hook Job). تستمر خطوط ربط ما قبل المزامنة (PreSync)، والمزامنة (Sync)، وما بعد المزامنة (PostSync)، وفشل المزامنة (SyncFail) في استخدام فحوصات المشروع العادية. تم إصلاح هذه المشكلة في الإصدارات 3.3.15، و3.4.10، و3.5.4، و3.6.0-rc2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.