CVE-2026-113708 in Argo CD
Zusammenfassung
von VulDB • 20.10.2026
Argo CD ist ein deklaratives GitOps-Werkzeug für die kontinuierliche Bereitstellung (Continuous Delivery) für Kubernetes. Von der Version 2.7.0 bis hin zu den Versionen 3.3.15, 3.4.10, 3.5.4 und 3.6.0-rc2 übergibt Kustomize ref- oder version-Abfragewerte von Remote-Ressourcen-, Basis- oder Komponenten-URLs an git fetch ohne einen End-of-Options-Trenner (Ende der Optionen). Ein Wert mit einem führenden Bindestrich kann als --upload-pack interpretiert werden und führt im argocd-repo-server die Ausführung eines Befehls aus, wenn das Remote-System ein lokales Transportprotokoll wie file:// verwendet. Git führt den angegebenen Befehl für https://-Remotes nicht aus. Da der lokale Transport den Pod nicht verlässt, verhindert das Blockieren des Egress-Traffic vom repo-server die Ausführung nicht. Der Befehl wird als Benutzer von repo-server ausgeführt, kann Repository-Anmeldeinformationen und andere prozesszugängliche Daten lesen sowie Ausgaben über Manifest-Generierungsfehler zurückgeben. Ein Angreifer kann eine Kustomization in ein Git-Repository committen, das von einer Anwendung erstellt wird, oder Dateien über POST /api/v1/applications/manifestsWithFiles hochladen; dieser Pfad ist auch durch argocd app diff --local --server-side-generate verfügbar. Der Upload-Pfad erfordert nur die Berechtigung Application get für eine bestehende Anwendung, ohne dass Berechtigungen zum Aktualisieren (Application update) oder Synchronisieren (sync) der Anwendung sowie Schreibzugriff auf das Repository erforderlich sind. Kustomize 5.0.0 führte die Akzeptanz von file:// ein, während Version 4.5.7 dieses Transportprotokoll ablehnt; Das Ersetzen des betroffenen Kustomize durch eine neuere Version behebt den fehlenden Optionstrenner nicht allein. Dieses Problem ist in den Versionen 3.3.15, 3.4.10, 3.5.4 und 3.6.0-rc2 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.